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随 着 计算 机 应 用 尤其 是 移动 支付 和 电子 商务 的 普及 ,信息 安全 与 人 们 
的 日 常生 活 息息相关 。 保 证 移动 通信 、 移 动 支付 和 电子 商务 的 安全 性 ,保证 
计算 机 系统 不 被 病毒 侵害 ,保证 计算 机 中 数据 的 保密 性 、 完 整 性 和 可 用 性 ， 
最 大 限度 地 利用 Windows 操作 系统 的 网 络 安全 功能 ,尽量 保留 黑客 入 侵 计 
算 机 系统 的 证 据 等 ,已 经 成 为 所 有 人 的 必 备 技能 。 因 此 ,对 非 计算 机 专业 学 
生 普 及 信息 安全 基础 知识 ,培养 学 生 解 决 实际 生活 中 的 信息 安全 问题 的 能 
力 ,已 成 为 十 分 迫切 的 事情 。 

目前 ,面向 非 计 算 机 专业 的 信息 安全 教材 通常 都 有 以 下 两 个 问题 : 一 是 
教材 内 容 往往 是 计算 机 专业 网 络 安 全 或 信息 安全 教材 的 简化 版 , 非 计 算 机 
专业 特性 不 明显 ;二 是 教材 内 容 偏 重 于 理论 ,缺乏 培养 解决 实际 信息 安全 问 
题 的 能 力 的 内 容 。 因 此 ,作者 编写 了 这 本 以 理工 类 非 计 算 机 专业 本 科 生 为 
教学 对 象 的 信息 安全 教材 。 

本 书 有 以 下 特色 : 一 是 基于 “大 学 计算 机 基础 ”课程 组 织 教材 内 容 ; 二 是 
以 浅显 易 懂 的 方式 阐述 信息 安全 的 基础 理论 ;三 是 在 讨论 具体 安全 技术 时 ， 
基于 信息 安全 基础 理论 阐述 安全 技术 的 实现 原理 ,让 读者 知 其 所 以 然 ; 四 是 
着 重 培 养 读者 解决 实际 生活 中 的 信息 安全 问题 的 能 力 , 重 点 讨论 病毒 防御 
技术 、 移 动 通 信安 全 技术 、 电 子 商务 和 移动 支付 安全 技术 、 数 据 安全 技术 、 
Windows 7 网 络 安全 技术 与 Windows 7 安全 审计 技术 等 。 因 此 ,本 书 是 一 
本 理想 的 非 计 算 机 专业 本 科 生 的 信息 安全 教材 ,也 可 作为 实用 型 计算 机 专 
业 的 信息 安全 教材 ,本 书 对 所 有 需要 具备 一 定 信 息 安 全 问题 解决 能 力 的 人 
员 而 言 ,也 是 一 本 非常 好 的 参考 书 。 

作为 一 本 无 论 在 内 容 组 织 \ 叙 述 方法 还 是 教学 目标 都 和 传统 信息 安全 教 
材 有 一 定 区 别 的 新 教材 , 书 中 的 错误 和 不 足 之 处 在 所 难免 , 投 切 希望 使 用 本 书 
的 教师 和 学 生 批 评 指正 。 作 者 的 E-mail 地 址 为 shenxinshan@163. com。 
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宁 1 早 


信息 技术 领域 中 的 信息 其 实 就 是 计算 机 用 于 表示 信息 的 各 种 类 型 的 数据 。 因 此 , 信 
息 安 全 就 是 存储 在 计算 机 中 和 经 过 网 络 传输 的 各 种 类 型 数据 的 安全 。 智 能 手机 既是 一 个 
完整 的 计算 机 系统 ,又 是 一 个 移动 通信 设备 ,智能 手机 随时 随地 可 以 上 网 的 特性 和 智能 手 
机 配备 的 各 种 类 型 的 传感器 ,使 得 以 智能 手机 为 终端 设备 的 移动 互联 网 拥有 多 种 传统 互 
联网 所 没有 的 应 用 。 


1.1 信息 和 日 常生 活 


随 着 互联 网 尤其 是 以 智能 手机 为 终端 设备 的 移动 互联 网 的 普及 ,人 们 的 日 常生 活 已 
经 和 信息 息息相关 。 信 息 技术 领域 中 的 信息 其 实 就 是 计算 机 中 用 于 表示 信息 的 各 种 类 型 
的 数据 ,因此 ,和 人 们 日 常生 活 息息相关 的 信息 其 实 就 是 计算 机 中 用 于 表示 信息 的 各 种 类 
型 的 数据 。 


1.1.1 信息 的 定义 


信息 的 定义 多 种 多 样 ,信息 技术 中 的 信息 通常 采用 以 下 定义 : 信息 是 对 客观 世界 中 
各 种 事物 的 运动 状态 和 变化 的 反映 ,是 客观 事物 之 间 相 互联 系 和 相互 作用 的 表征 ,表现 的 
是 客观 事物 运动 状态 和 变化 的 本 质 内 容 。 

信息 之 所 以 重要 ,是 因为 它 小 到 可 以 反映 一 个 项 目 、 一 次 活动 的 本 质 内 容 , 如 项 目 和 
活动 计划 ,项 目 和 活动 实施 过 程 等 ;大 到 可 以 反映 一 个 企业 ,一 个 国家 的 本 质 内 容 , 如 企业 
核心 技术 ,企业 财务 状况 、 国 家 核心 机 密 等 。 这 些 本 质 内 容 事 关 项 目 活动 的 成 败 ,甚至 企 
业 和 国家 的 兴衰 存亡 。 


112 日 常生 活 中 的 信息 


1. 数据 类 型 

人 们 在 日 常生 活 中 感受 到 的 、 信 息 技术 范畴 中 的 信息 其 实 是 计算 机 用 于 表示 信息 的 
数据 , 即 计算 机 采集 、 存 储 和 处 理 的 数据 ,包括 文字 数值. 图形、 图 像 音 频 和 视频 等 多 种 
类 型 。 计 算 机 中 的 文字 是 指 用 于 组 成 文本 的 各 种 字符 ,这 些 字符 包括 英文 字母 .汉字 及 其 
他 国家 的 文字 等 。 计 算 机 中 的 数值 是 指 表示 量 的 多 少 的 数 , 可 以 是 整数 实数、 十进制 数 、 
二 进 制 数 . 八 进 制 数 ,十 六 进 制 数 等 。 图 形 是 指 由 外 部 轮廓 线条 构成 的 矢量 图 ,计算 机 可 
以 对 矢量 图 进行 移动 缩放、 旋转 和 扭曲 等 变换 。 图 像 由 无 数 个 独立 的 像素 组 成 ,每 个 像 
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素 独立 显示 颜色 ,计算 机 可 以 对 图 像 进 行 移动 ,缩放 等 变换 ,但 不 能 进行 旋转 和 扭曲 等 变 
换 。 音 频 是 指 人 类 可 以 听 到 的 一 切 声音 。 视 频 是 指 各 种 动态 影像 ,每 秒 超过 24 帧 的 连续 
变化 的 图 像 也 是 动态 影像 。 

计算 机 统一 用 二 进 制 数 表示 所 有 类 型 的 数据 ,包括 文字 、 数 值 、 图 形 、 图 像 、 音 频 和 
视频 等 。 因 此 ,计算 机 首先 需要 解决 用 二 进 制 数 存储 ,并 且 能 够 还 原 所 有 类 型 数据 的 
问题 。 

2. 日 常生 活 中 的 数据 实例 

纯 文 本 中 的 字符 属于 文字 类 型 的 数据 ,因此 ,可 以 由 文字 类 型 数据 构成 纯 文 本 ,如 完 
全 由 文字 组 成 的 文档 、 短 消息 等 。 电 子 商务 中 的 单价 ,消费 金 额 \ 购 货 数量 等 属于 数值 类 
型 数据 。 点 , 线 、 面 组 成 的 几何 图 形 和 由 类 似 AutoCAD 等 绘图 软件 生成 的 图 形 属于 图 形 
类 型 数据 。 照 片 等 属于 图 像 类 型 数据 。 音 乐 通话 录音 等 属于 音频 类 型 数据 。 录像、 电影 
等 属于 视频 类 型 数据 。 

3. 数据 与 隐私 

人 们 在 日 常生 活 中 不 断 地 产生 、 存 储 、 处 理 和 传输 数据 ,有 些 数据 涉及 个 人 隐私 ,这 些 
数据 的 泄露 会 对 人 们 的 生活 产生 不 良 的 影响 ,如 自拍 的 照片 ,记录 通话 过 程 的 电话 录音 、 
拍摄 的 视频 .电子 交易 过 程 中 输入 的 账号 和 密码 .作为 支付 凭证 的 二 维 码 .电话 本 中 的 联 
系 人 等 。 对 于 个 人 而 言 , 信 息 安全 就 是 保证 这 些 数据 在 存储 、 处 理 和 传输 过 程 中 不 被 泄 
露 . 破 坏 和 算 改 。 


1.2 信息 和 网 络 


智能 手机 随时 随地 可 以 上 网 的 特性 和 智能 手机 配备 的 各 种 类 型 的 传感器 使 得 以 智能 
手机 为 终端 设备 的 移动 互联 网 得 到 广泛 应 用 ,移动 支付 .共享 单车 等 都 是 移动 互联 网 的 典 
型 应 用 。 互 联网 和 移动 互联 网 的 广泛 应 用 使 得 信息 安全 与 人 们 的 日 常生 活 更 加 息 息 相 
关 , 同 时 也 使 得 信息 安全 成 为 一 个 更 加 复杂 的 问题 。 
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1. 传统 互联 网 
(1) 互联 网 结构 
传统 互联 网 的 结构 如 图 1. 1 所 示 ,主要 由 三 部 分 组 成 ,分 别 是 各 种 类 型 的 传输 网 络 、 
互 连 传输 网 络 的 路 由 器 和 主机 ,主机 包括 终端 和 服务 器 。 互 联网 的 核心 功能 是 实现 主机 
路 由 器 


传输 网 络 1 人 办 四 络 2 ) ES 传输 网 络 3 


| 器 


A AL 
7 


一 





























务 器 




















图 1.1 互联 网 结构 
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之 间 的 通信 过 程 。 实 现 主机 之 间 通 信 过 程 的 目的 是 为 了 共享 资源 。 根 据 共享 的 资源 是 集 
中 在 服务 器 中 还 是 分 布 在 所 有 主机 中 ,可 以 将 实现 资源 共享 的 应 用 结构 分 为 客户 /服务 器 
结构 和 对 等 结构 。 

(2) 客户 /服务 器 结构 

客户 /服务 器 (Client/Server,C/S) 结 构 如 图 1. 2 所 示 ,资源 集中 在 服务 器 中 ,客户 只 
能 共享 服务 器 中 的 资源 。 当 客户 需要 访问 服务 器 中 的 资源 时 ,需要 向 服务 器 发 送 服务 请 
求 , 服 务 请 求 中 需要 指定 访问 的 资源 ,服务 器 根据 服务 请 求 中 指定 的 资源 ,完成 该 资源 的 


访问 过 程 , 并 将 访问 结果 通过 服务 响应 反馈 给 客户 。 
| 服务 请 求 9 
服务 响应 


客户 民 务 器 











图 1.2 客户 /服务 器 结构 


(3) 对 等 结构 

对 等 结构 (Peer to Peer,P2P) 如 图 1. 3 所 示 ,主机 不 再 划分 为 客户 和 服务 器 ,所 有 主 
机 都 是 对 等 的 ,共享 的 资源 分 布 在 所 有 主机 中 ,因此 ,每 一 台 主 机 既是 服务 请 求 者 ,又 是 服 
务 提供 者 。 

2. 移动 互联 网 

(1) 移动 互联 网 结构 

移动 互联 网 是 移动 终端 和 互联 网 的 有 机 结合 。 移 动 互联 网 结构 如 图 1. 4 所 示 , 笔 记 
本 式 计算 机 和 平板 电脑 通过 无 线 局 域 网 接 入 Internet, 智 能 手机 通过 无 线 局 域 网 或 通用 
分 组 无 线 业务 (General Packet Radio Service,GPRS)、3G、4G 等 无 线 数据 通信 网络 接 入 


JInternet 。 





图 1.3 对 等 结构 图 1.4 移动 互联 网 结构 


(2) 移动 互联 网 的 要 素 
移动 互联 网 的 要 素 有 三 个 : 一 是 移动 终端 ,尤其 是 智能 手机 ;二 是 无 线 通 信 网 络 ;三 
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是 移动 互联 网 应 用 。 

一 切 便于 携带 且 采 用 无 线 通信 技术 的 网 络 终 端 都 属于 移动 终端 ,智能 手机 无 疑 是 最 
普及 的 移动 终端 。 智 能 手机 本 身 是 一 个 计算 机 系统 ,可 以 安装 操作 系统 ,运行 应 用 软件 。 
但 智能 手机 与 一 般 计 算 机 系统 相 比 , 又 有 着 以 下 不 同 。 

。 方便 携带 。 这 一 特性 使 得 人 们 随时 随地 都 可 以 使 用 智能 手机 。 

。 方便 使 用 。 智 能 手机 的 触摸 屏 界 面 使 得 任何 人 都 能 够 操作 智能 手机 ,因此 智能 手 
机 成 为 使 用 最 普遍 的 计算 机 系统 。 
方便 连接 。 智 能 手机 普遍 支持 无 线 局 域 网 和 无 线 数据 通信 网 络 ,这 使 得 智能 手机 
几乎 在 任何 地 方 都 能 连接 互联 网 。 
方便 身份 鉴别 。 智 能 手机 的 SIM 卡 或 UIM 卡 中 存 有 用 户 身份 标识 符 , 从 而 可 以 
对 手机 用 户 身 份 进 行 鉴别 。 
丰富 的 传感器 。 智 能 手机 配备 丰富 的 传感器 ,使 得 智能 手机 可 以 完成 定位 ,拍照 、 
摄像 .扫描 和 跟踪 等 功能 。 
移动 通信 设备 。 智 能 手机 作为 移动 通信 网 络 的 移动 通信 设备 ,可 以 实现 移动 语音 
通信 和 短 消 息 的 发 送 、 接 收 过 程 。 

目前 常用 的 连接 移动 终端 的 无 线 通信 网 络 有 无 线 局 域 网 和 GPRS、3G、4G 等 无 线 数 
据 通 信和 网 络 , 家 庭 和 公共 场所 已 经 基本 普及 无 线 局 域 网 ,GPRS、3G、4G 等 无 线 数据 通信 
网 络 更 是 覆盖 了 城乡 的 每 一 个 角落 ,因此 ,移动 终端 可 以 随时 随地 连接 互联 网 。 

用 户 已 经 开发 了 大 量 基于 Android 和 iOS 的 应 用 程序 ,这 些 应 用 程序 极 大 地 拓展 了 
智能 手机 的 功能 ,使 得 智能 手机 成 为 一 个 无 所 不 能 的 终端 设备 ,真正 做 到 一 机 在 手 、 天 下 
我 有 ! 

(3) 移动 互联 网 带 来 的 质变 

与 传统 互联 网 相 比 ,移动 互联 网 具有 以 下 变化 。 一 是 大 量 智能 手机 接 入 互联 网 。 
智能 手机 容易 操作 的 特点 ,使 得 移动 互联 网 用 户 数量 剧 增 ; 二 是 智能 手机 随时 随地 连 
接 互联 网 的 特点 ,使 得 移动 互联 网 产生 了 大 量 新 的 传统 互联 网 所 没有 的 应 用 方式 ;三 
是 智能 手机 配备 了 丰富 的 传感器 ,使 得 移动 互联 网 能 够 开发 出 基于 位 置 服务 (Location 
Based Services,LBS) 、 扫 码 支付 等 具有 极 大 应 用 前 景 的 新 型 应 用 领域 ;四 是 各 种 App 使 
得 智能 手机 成 为 一 个 无 所 不 能 的 终端 设备 , 订 车 、 订 和 餐 、 订 票 甚至 家 庭 监 控 , 都 可 一 机 
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与 人 们 日 常生 活 相关 的 互联 网 应 用 数不胜数 ,本 节选 择 以 下 三 种 应 用 进行 说 明 的 原 
因 有 两 个 : 一 是 这 三 种 应 用 及 其 普及 ,是 绝 大 多 数 人 所 熟悉 的 互联 网 应 用 ;二 是 这 三 种 应 
用 都 涉及 安全 问题 ,人 们 对 这 三 种 互联 网 应 用 普遍 感到 不 安 的 是 安全 性 ,从 而 可 以 为 讨论 
互联 网 环境 下 的 安全 问题 拉 开 序幕 。 

1. 网 上 购物 

网 上 购物 应 用 系统 如 图 1. 5 所 示 ,用户 通 过 终端 接 人 Internet, 在 银行 开通 网 上 银 
行 ,并 开启 网 上 支付 功能 。 商 家 构建 电 商 平台 ,允许 用 户 通 过 互联 网 选 购 商品 。 
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(1) 网 上 购物 过 程 

基于 网 上 支付 完成 网 上 购物 的 过 程 涉及 以 下 步骤 。 

人 选择 一 家 银行 ,在 该 银行 设立 一 个 账户 ,并 为 该 账户 开启 网 上 支付 功能 。 

@ 登录 电 商 平台 ,完成 商品 选 购 ,支付 方式 选择 网 上 支付 ,在 商家 支持 的 银行 中 选中 
设立 账户 的 银行 。 

@ 验证 银行 支付 界面 ,输入 账户 号 码 ,输入 用 户 身份 鉴别 信息 ,完成 支付 过 程 。 不 同 
银行 的 用 户 身份 鉴别 信息 有 所 不 同 ,如 有 的 银行 的 用 户 身份 鉴别 信息 包括 设立 账户 时 设 
定 的 用 户 名 \ 密 码 和 动态 口令 。 动 态 口 令 是 由 银行 设立 账户 时 交付 的 动态 口令 牌 产生 的 ， 
通常 情况 下 每 分 钟 更 新 一 次 ,银行 必须 保证 动态 口令 牌 产生 的 动态 口令 与 银行 为 该 账户 
产生 的 动态 口令 一 致 。 图 1. 6 所 示 为 一 种 动态 口令 牌 。 








银行 
图 1.5 网 上 购物 应 用 系统 图 1.6 动态 口令 牌 


(2) 网 上 购物 涉及 的 数据 交换 过 程 

网 上 购物 涉及 的 数据 交换 过 程 如 图 1.7 所 示 ,用 户 首先 登录 商家 网 站 选 购 商品 ,在 这 
个 阶段 ,用 户 和 商家 网 站 之 间 交 换 的 数据 主要 是 与 选 购 商品 有 关 的 数据 ,如 商品 名 称 和 数 
量 等 。 用 户 完成 商品 选 购 后 ,进入 支付 阶段 ,支付 方式 选择 网 上 支付 ,在 商家 支持 的 银行 
列表 中 选择 用 户 开 设 账 户 的 银行 。 用户 选中 开设 账户 的 银行 后 ,可 以 看 到 该 银行 弹出 的 
支付 界面 。 在 这 个 阶段 ,商家 与 银行 之 间 交 换 的 数据 主要 是 与 支付 有 关 的 数据 ,如 用 户 选 
购 的 商品 清单 和 需要 支付 的 金额 等 。 用 户 看 到 银行 弹出 的 支付 界面 后 , 需 输入 账号 、 用 户 
名 和 密码 ,银行 支付 界面 显示 验证 信息 和 商家 提供 的 商品 清单 与 应 付 金额 ,用 户 确认 是 开 
设 账 户 的 银行 后 ,核对 商品 清单 和 应 付 金 额 , 确 认 无 误 后 输入 动态 口令 ,完成 支付 过 程 。 
在 这 个 阶段 ,用 户 与 银行 之 间 交 换 的 数据 主要 是 和 鉴别 用 户 身份 以 及 完成 网 上 支付 过 程 
有 关 的 数据 ,如 账号 ,用户 名 、 密 码 和 动态 口令 等 。 










用 户 @ 商 品名 称 、 数 量 


图 账 号 、 用 户 名 、 
密码 、 动态 口令 


单 、 支付 金额 


银行 
图 1.7 数据 交换 过 程 
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(3) 网 上 购物 涉及 的 安全 问题 

从 图 1.7 所 示 的 网 上 购物 涉及 的 数据 交换 过 程 中 可 以 看 出 ,网 上 购物 涉及 的 安全 问题 
主要 有 以 下 几 个 : 一 是 商家 链接 的 银行 支付 界面 有 可 能 是 伪造 的 银行 支付 界面 ,用 于 窃取 
用 户 输入 的 用 户 名 、 密 码 和 动态 口令 等 ;二 是 用 户 与 银行 之 间 交 换 的 与 鉴别 用 户 身份 和 完成 
网 上 支付 过 程 有 关 的 数据 ,如 账号 ,用户 名 、 密 码 和 动态 口令 等 ,在 传输 过 程 中 有 可 能 被 截 
获 ;三 是 商家 与 银行 之 间 交 换 的 与 支付 有 关 的 数据 ,如 用 户 选 购 的 商品 清单 和 用 户 需要 支付 
的 金额 等 ,在 传输 过 程 中 有 可 能 被 自 改 ;四 是 用 户 和 商家 可 能 否认 曾经 发 送 过 的 信息 和 进行 
过 的 操作 ,如 用 户 否 认 曾 经 在 某 个 电 商 平台 选 购 商 品 \ 否 认 曾 经 进行 过 的 支付 操作 ,商家 否 
认 曾 经 向 银行 发 送 过 商品 清单 等 ;五 是 用 户 终端 和 商家 的 电 商 平台 可 能 无 法 正常 工作 。 

2. 微 信 支付 

微 信 支付 应 用 系统 如 图 1. 8 所 示 , 微 信和 客户 端 微 信 支 付 系 统 和 商家 后 台 系统 通过 互 
联网 连接 在 一 起 。 商 家 门店 通过 商家 专用 网 络 与 商家 后 台 系统 连接 在 一 起 。 微 信 支 付 系 
统 通 过 支付 网 络 与 各 个 微 信 支 付 系 统 支 持 的 银行 连接 在 一 起 。 


商家 
门店 | be 
台 系统 

用 户 
本 < 

微 信 
客户 端 = 
支付 网 络 ) 一 | 国 蝇 


微 信 支 银行 
付 系统 


图 1.8 微 信 支 付 应 用 系统 








(1) 微 信 扫 码 支付 过 程 

微 信 扫 码 支付 过 程 包括 以 下 步骤 : 

Q@ 用 户 在 商家 门店 完成 商品 选 购 过 程 后 ,选择 微 信 扫 码 支付 ; 

@ 商家 门店 生成 二 维 码 供用 户 扫 描 ; 

@ 用 户 用 微 信 “ 扫 一 扫 ” 扫 描 商 家 门店 展示 的 二 维 码 后 ,显示 商家 信息 和 支付 金额 ， 
用 户 确 认 后 ,输入 支付 密码 完成 支付 过 程 。 

(2) 微 信 扫 码 支付 涉及 的 数据 交换 过 程 

微 信 扫 码 支付 工作 流程 如 图 1.9 所 示 , 经 过 互联 网 传输 的 数据 主要 是 商家 后 台 系 统 
与 微 信 支 付 系 统 之 间 交 换 的 数据 和 微 信和 客户 端 与 微 信 支 付 系统 之 间 交 换 的 数据 。 当 用 户 
在 商家 门店 完成 商品 选 购 过 程 后 ,商家 门店 生成 订货 信息 ,包括 订单 号 、 商 品目 录 、 单 价 和 
商品 总 价 等 。 商 家 门店 将 订货 信息 发 送 给 商家 后 台 系 统 ,商家 后 台 系 统 生 成 预支 付 请 求 ， 
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并 将 预支 付 请 求 发 送 给 微 信 支 付 系 统 , 预 支付 请 求 中 包含 商家 账号 和 订货 信息 等 。 微 信 
支付 系统 为 预支 付 请 求 创建 一 项 记录 ,并 将 该 记录 标识 符 作 为 预支 付 交易 链接 发 送 给 商 
家 后 台 系 统 。 商 家 后 台 系 统 生成 预支 付 交易 链接 对 应 的 二 维 码 , 将 预支 付 交易 链接 对 应 
的 二 维 码 发 送 给 门店 系统 。 门 店 系统 展示 预支 付 交易 链接 对 应 的 二 维 码 。 用 户 用 微 信 
“ 扫 一 扫 ” 扫 描 商 家 门店 展示 的 预支 付 交易 链接 对 应 的 二 维 码 , 然 后 将 二 维 码 扫描 结果 发 
送 给 微 信 支 付 系 统 。 微 信 支 付 系 统 将 用 户 的 微 信 客户 端 与 商家 的 预支 付 请 求 绑 定 在 一 
起 ,然后 向 微 信 客户 端 发 送 支付 验证 ,支付 验证 中 包括 商家 信息 和 支付 金额 。 微 信 客 户 端 
显示 商家 信息 和 支付 金额 ,用 户 确认 后 输入 支付 密码 ,然后 微 信 客户 端 向 微 信 支付 系统 发 
送 支付 授权 。 微 信 支 付 系 统 确定 微 信 客 户 端 具有 支付 权限 后 ,根据 用 户 账号 和 商家 账号 
绑 定 的 银行 卡 , 请 求 银行 完成 支付 过 程 。 银 行 完成 支付 过 程 后 ,向 微 信 支付 系统 发 送 支付 
结果 ,支付 结果 中 包括 支付 金额 \ 用 户 账号 、 商 家 账号 和 订单 号 等 信息 。 微 信 支 付 系统 接 
收 到 银行 发 送 的 支付 结果 后 ,向 商家 后 台 系统 和 微 信 客 户 端 发 送 支付 成 功 信息 , 其 中 包含 
支付 金额 和 订单 号 等 信息 ,商家 后 台 系统 接收 到 支付 成 功 信 息 后 ,向 商家 门店 发 送 支付 成 
功 信息 。 商 家 门店 接收 到 支付 成 功 信息 后 ,向 用 户 提交 商品 。 
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图 1.9 微 信 扫 码 支付 工作 流程 


(3) 微 信 扫 码 支 付 涉及 的 安全 问题 

微 信 扫 码 支付 涉及 的 安全 问题 主要 有 以 下 几 个 : 一 是 如 何 确保 预支 付 请 求 中 指明 的 
商家 与 发 送 预 支付 请 求 的 商家 是 一 致 的 ;二 是 如 何 确 保 预 支付 请 求 在 传输 过 程 中 不 被 算 
改 ; 三 是 如 何 确保 预支 付 交 易 链 接 在 传输 过 程 中 不 被 算 改 ;四 是 如 何 确 保 支付 验证 在 传输 
过 程 中 不 被 自 改 ;五 是 如 何 确 保 支付 授权 在 传输 过 程 中 不 被 截获 ;六 是 如 何 确保 微 信 客 户 
端 和 商家 后 台 系 统 无 法 否认 曾经 发 送 过 的 信息 ;七 是 如 何 确保 微 信 客 户 端 和 微 信 支付 系 
统 能 够 正常 工作 。 

3. 共享 单车 

共享 单车 应 用 系统 如 图 1. 10 所 示 ,目前 存在 两 种 类 型 的 共享 单车 ,一 种 类 型 的 共享 
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车 没有 连接 互联 网 的 功能 ,因此 也 不 能 与 共享 单车 后 台 交 换 数据 。 这 种 类 型 的 共享 单 
车 成 本 较 低 。 另 一 种 类 型 的 共享 单车 具有 连接 互联 网 的 功能 ,能 够 与 共享 单车 后 台 交 换 
数据 ,图 1. 10 所 示 的 共享 单车 属于 这 一 类 型 。 智 能 手机 需要 下 载 共享 单车 应 用 程序 , 通 





过 共享 单车 应 用 程序 与 共享 单车 后 台 完成 数据 交换 过 程 。 共 十 时 
享 单车 后 台 采 集 共 享 单 车 的 位 置信 息 和 使 用 状态 ,接收 应 用 ee 
程序 发 送 的 使 用 请 求 ,向 共享 单车 发 送 开锁 指令 ,向 应 用 程序 O 


发 送 共 享 单车 使 用 状态 和 计 费 情况 。 


(1) 共享 单车 的 使 用 过 程 图 一 Coe》 








使 用 共享 单车 的 过 程 包括 以 下 步 又， 共享 单车 

Q@ 用 户 下 载 共享 单车 应 用 程序 (App); 应 用 程序 

@ 用 户 找到 共享 单车 ,用 该 共享 单车 应 用 程序 对 二 维 码 吕 
进行 扫描 ; 共享 单 


i : 车 后 台 
共 FE 锁 ,该 共 示 
@ 共享 单车 自动 开锁 ,该 共享 单车 应 用 程序 显示 使 用 开 0 这 永昌 证 区 用 戎 呈 


始 , 用 户 可 以 使 用 该 共享 单车 ; 

@ 用 户 完成 共享 单车 使 用 后 ,对 共享 单车 加 锁 , 该 共享 单车 应 用 程序 显示 使 用 结束 。 

(2) 共享 单车 涉及 的 数据 交换 过 程 

共享 单车 涉及 的 数据 交换 过 程 如 图 1. 11 所 示 , 启 动 共享 单车 应 用 程序 ,登录 共享 单 
车 后 台 ,选择 * 使 用 共享 单车 ,并 对 选中 的 共享 单车 扫 二 维 码 。 二 维 码 中 主要 包含 该 共享 
单车 的 标识 符 。 共 享 单车 应 用 程序 向 共享 单车 后 台 发 送 解锁 请 求 ,解锁 请 求 中 主要 包括 
请 求解 锁 的 共享 单车 的 标识 符 。 共 享 单车 后 台 向 用 户 选 中 的 共享 单车 发 送 解锁 指令 ,用 
户 可 以 开始 使 用 该 共享 单车 。 使 用 过 程 中 ,共享 单车 后 台 定 时 向 共享 单车 应 用 程序 发 送 
该 共享 单车 的 使 用 状态 .位置 信息 和 计 费 情况 等 。 共 享 单车 也 定时 向 共享 单车 后 台 发 送 
使 用 状态 和 位 置信 息 。 一 旦 用 户 完成 该 共享 单车 的 使 用 过 程 , 便 对 该 共享 单车 加 锁 , 该 共 
享 单车 向 共享 单车 后 台 报告 使 用 结束 状态 ,共享 单车 后 台 向 共享 单车 应 用 程序 发 送 使 用 
结束 状态 和 计 费 情况 。 
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图 1.11 数据 交换 过 程 


(3) 共享 单车 涉及 的 安全 问题 
共享 单车 涉及 的 安全 问题 有 以 下 几 个 : 一 是 如 何 确保 登录 的 共享 单车 用 户 身份 不 是 
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假冒 的 ;二 是 如 何 确保 共享 单车 应 用 程序 与 共享 单车 后 台 之 间 交 换 的 数据 不 被 自 改 和 截 
获 ; 三 是 如 何 确保 共享 单车 后 台 与 共享 单车 之 间 交 换 的 数据 不 被 算 改 和 截获 ;四 是 如 何 确 
保 用 户 无 法 否认 曾经 进行 过 的 共享 单车 使 用 过 程 ;五 是 如 何 确保 共享 单车 应 用 程序 和 共 
享 单车 后 台 能 够 正常 工作 。 
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网 络 环 境 下 的 信息 安全 目标 包括 信息 的 可 用 性 ,保密 性 、 完 整 性 不 可 抵赖 性 和 可 控 
制 性 等 。 

1. 可 用 性 

可 用 性 是 指 信息 被 授权 实体 访问 并 按 需 使 用 的 特性 。 通 俗 地 讲 , 就 是 做 到 有 权 使 用 
信息 的 人 在 任何 时 候 都 能 使 用 已 经 被 授权 使 用 的 信息 ,信息 系统 无 论 在 何 种 情况 下 都 要 
保障 这 种 服务 。 而 无 权 使 用 信息 的 人 在 任何 时 候 都 不 能 访问 没有 被 授权 使 用 的 信息 。 

对 于 图 1. 5 所 示 的 网 上 购物 应 用 系统 ,如 果 因为 攻击 导致 用 户 终端 和 商家 电 商 平台 
不 能 正常 工作 ,就 会 破坏 网 上 购物 应 用 系统 的 可 用 性 。 

2. 保密 性 

保密 性 是 指 防 止 信息 泄露 给 非 授权 个 人 或 实体 ,只 为 授权 用 户 使 用 的 特性 。 通 俗 地 
讲 , 信 息 只 能 让 有 权 看 到 的 人 看 到 ,无 权 看 到 信息 的 人 无 论 在 何 时 采用 何 种 手段 都 无 法 看 
到 信息 。 

除了 银行 和 用 户 , 如 果 有 第 三 方 利 用 图 1.7 所 示 的 数据 交换 过 程 窃取 密码 和 动态 口 
令 ,就 会 破坏 用 户 终端 与 银行 之 间 传 输 的 数据 的 保密 性 。 

3. 完整 性 

完整 性 是 指 信息 未 经 授权 不 能 改变 的 特性 。 通 俗 地 讲 ,信息 在 计算 机 中 存储 和 网 络 
传输 的 过 程 中 , 非 授 权 用 户 无 论 在 何 时 采用 何 种 手段 都 不 能 删除 、 自 改 、 伪 造 信息 。 

在 图 1.7 所 示 的 数据 交换 过 程 中 ,如 果 有 人 算 改 了 商家 发 送 给 银行 的 商品 清单 和 支 
付 金 额 ,就 破坏 了 商家 与 银行 之 间 传 输 的 数据 的 完整 性 。 

4. 不 可 抵赖 性 

不 可 抵赖 性 是 指 在 信息 交互 过 程 中 ,所 有 参与 者 不 能 否认 曾经 完成 的 操作 或 承诺 的 
特性 。 这 种 特性 体现 在 两 个 方面 : 一 是 参与 者 开始 参与 信息 交互 时 ,必须 对 其 真实 性 进 
行 鉴别 ;二 是 在 信息 交互 过 程 中 必须 能 够 保留 使 其 无 法 否认 曾经 完成 的 操作 或 许 下 的 承 
诺 的 证 据 。 

在 图 1.7 所 示 的 数据 交换 过 程 中 ,如 果 用 户 否 认 曾 经 进行 过 的 网 上 支付 操作 , 且 银 行 
又 无 法 证 明 用 户 曾经 进行 过 的 网 上 支付 操作 ,就 破坏 了 用 户 与 银行 之 间 传 输 的 数据 的 不 
可 抵赖 性 。 

5. 可 控制 性 

可 控制 性 是 指 对 信息 的 传播 过 程 及 内 容 具有 控制 能 力 的 特性 。 通 俗 地 讲 , 就 是 可 以 
控制 用 户 的 信息 流向 ,对 信息 内 容 进行 审查 ,对 出 现 的 安全 问题 提供 调查 和 追踪 的 手段 。 

对 于 图 1.5 所 示 的 网 上 购物 应 用 系统 ,如 果 电 商 平台 出 现 非法 信息 , 且 用 户 能 够 访问 
这 些 非 法 信息 ,就 破坏 了 用 户 终端 与 商家 之 间 传 输 的 数据 的 可 控制 性 。 
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1.3 信息 面临 的 安全 威胁 


当 信息 与 人 们 的 日 常生 活 息息相关 时 ,信息 就 成 了 有 着 重要 价值 的 资源 ,大 量 不 法 分 
子 为 贪图 利益 ,会 对 互联 网 中 的 信息 展开 一 系列 的 攻击 行为 ,使 互联 网 中 的 信息 面临 各 种 
各 样 的 安全 威胁 。 


13.1 嗅 探 攻击 


1. 嗅 探 攻 击 的 原理 

嗅 探 攻 击 的 原理 如 图 1. 12 所 示 ,在 终端 A 向 终端 B 传输 信息 的 过 程 中 ,信息 不 仅 沿 
着 终端 A 至 终端 B 的 传输 路 径 传输 ,还 沿 着 终端 A 至 黑客 终端 的 传输 路 径 传输 , 且 终端 
A 至 黑客 终端 的 传输 路 径 对 终端 A 和 终端 B 都 是 透明 的 。 

2. 嗅 探 攻击 的 后 果 

嗅 探 攻 击 的 后 果 有 以 下 三 点 。 一 是 破坏 信息 的 保密 性 。 黑 客 终端 嗅 探 到 信息 后 ,可 
以 阅读 、 分 析 信 息 。 二 是 嗅 探 攻击 是 实现 数据 流 分 析 攻 击 的 前 提 。 只 有 实现 嗅 探 攻击 , 才 
能 对 嗅 探 到 的 数据 流 进行 统计 分 析 。 三 是 实施 重 放 攻 击 。 黑 客 终端 嗅 探 到 信息 后 ,可 以 
在 保持 信息 一 段 时 间 后 ,将 信息 发 送 给 目的 终端 ,或 者 在 保持 信息 一 段 时 间 后 ,反复 多 次 
将 信息 发 送 给 目的 终端 ,这 种 行为 称 为 重 放 攻 击 。 

3. 无 线 局 域 网 中 嗅 探 攻击 的 实施 过 程 

无 线 局 域 网 中 嗅 探 攻 击 的 实施 过 程 如 图 1. 13 所 示 ,只 要 黑客 终端 与 终端 A 和 终端 B 
位 于 相同 的 基本 服务 区 (Basic Service Area,BSA) 内 ,黑客 终端 就 可 以 嗅 探 终端 A 与 终 
端 B 之 间 传输 的 数据 。 因 此 ,对 于 移动 互联 网 , 嗅 控 攻击 是 无 法 避免 的 。 
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132 截获 攻击 


1. 截获 攻击 的 原理 

截获 攻击 的 原理 如 图 1. 14 所 示 。 黑 客 首先 需要 改变 终端 A 至 终端 B 的 传输 路 径 ， 
将 终端 A 至 终端 B 的 传输 路 径 变 为 终端 A 一 黑客 终端 终端 B, 使 得 终端 A 传输 给 终端 
B 的 信息 必须 经 过 黑客 终端 。 黑 客 终端 截获 终端 A 传输 给 终端 了 的 信息 后 ,可 以 进行 如 
下 操作 : 一 是 自 改 信息 ,将 自 改 后 的 信息 转发 给 终端 B; 二 是 在 保持 信息 一 段 时 间 后 ,再 


将 信息 转发 给 终端 B, 或 者 在 保持 信息 一 段 时 间 后 ,将 同 
一 信息 反复 多 次 转发 给 终端 B; 三 是 黑客 终端 只 保持 信 
息 ,不 向 终端 B 转 发 信息 。 

2. 截获 攻击 的 后 果 

由 于 目前 许多 访问 过 程 均 采 用 明码 方式 传输 用 于 
登录 的 用 户 名 和 口令 ,因此 ,通过 分 析 所 截获 的 信息 ,可 
以 获得 用 户 的 私密 信息 ,如 用 Telnet 访问 服务 器 时 使 用 ”终端 A 终端 B 
的 用 户 名 和 口令 。 黑 客 终端 截获 信息 后 ,可 以 算 改 信 图 1.14 截获 攻击 原理 
息 。 如 果 用 户 通过 Web 服务 器 进行 网 上 购物 ,黑客 可 
以 在 算 改 截获 到 的 IP 分 组 中 有 关 购 物 的 信息 (如 物品 种 类 数量 等 ) 后 ,再 将 IP 分 组 转发 
给 目的 终端 。 

即使 用 户 采用 密 文 方式 传输 信息 ,黑客 终端 在 截获 某 个 IP 分 组 后 , 仍 可 以 实施 重 放 
攻击 。 假 定 用 户 通过 Web 服务 器 进行 网 上 购物 ,黑客 终端 截获 IP 分 组 后 ,根据 IP 分 组 
所 属 的 TCP 连接 和 TCP 连接 另 一 端的 服务 器 类 型 ,确定 其 是 用 于 电子 购物 的 IP 分 组 。 
黑客 终端 可 以 不 立即 转发 该 IP 分 组 ,而 是 在 经 过 一 段 时 间 后 再 转发 该 IP 分 组 ,或 者 黑客 
终端 立即 转发 该 IP 分 组 ,在 经 过 一 段 时 间 后 ,再 次 转发 该 IP 分 组 ,造成 服务 器 的 购 货 信 
息 错 误 。 

3. 以 太 网 中 截获 攻击 的 实施 过 程 

当 连 接 在 以 太 网 上 的 两 个 终端 之 间 传 输 IP 分 组 时 ,发 送 终端 必须 先 获取 接收 终端 的 
MAC 地 址 ,然后 将 IP 分 组 封装 成 以 发 送 终端 的 MAC 地 址 为 源 MAC 地 址 、 以 接收 终端 
的 MAC 地 址 为 目的 MAC 地 址 的 MAC 帧 。 通 过 以 太 网 实现 MAC 帧 发 送 终端 至 接收 
终端 的 传输 过 程 。 

如 果 发 送 终端 只 获取 接收 终端 的 IP 地 址 , 则 需要 完成 根据 接收 终端 的 IP 地 址 解析 
出 接收 终端 的 MAC 地 址 的 地 址 解析 过 程 ,完成 地 址 解析 过 程 的 协议 是 地 址 解析 协议 
(Address Resolution Protocol,ARP) 。 

每 一 个 终端 都 有 ARP 缓冲 区 ,一 旦 完成 地 址 解析 过 程 ,ARP 缓冲 区 中 就 会 建立 IP 
地 址 与 MAC 地 址 的 绑 定 项 。 如 果 ARP 缓冲 区 中 已 经 存在 某 个 IP 地 址 与 MAC 地 址 的 
绑 定 项 , 则 用 绑 定 项 中 的 MAC 地 址 作为 绑 定 项 中 IP 地 址 的 解析 结果 ,不 再 进行 地 址 解 
析 过 程 。 

ARP 地 址 解析 过 程 如 图 1. 15 所 示 ,如 果 终 端 A 已 经 获取 终端 了 的 了 P 地 址 IPB, 则 
需要 解析 出 终端 B 的 MAC 地 址 ,终端 A 广播 图 1. 15 所 示 的 ARP 请 求 报 文 ,请 求 报 文 
中 给 出 终端 A 的 IP 地 址 IP A 与 终端 A 的 MAC 地 址 MAC A 的 绑 定 项 ,同时 给 出 终端 
B 的 IP 地 址 IP B。 该 广播 报 文 被 以 太 网 中 的 所 有 终端 接收 ,所 有 终端 的 ARP 缓冲 区 中 
记录 下 终端 A 的 IP 地 址 IP A 与 终端 A 的 MAC 地址 MAC A 的 绑 定 项 ,只 有 终端 B 向 
终端 A 发送 ARP 响应 报 文 ,响应 报 文中 才 会 给 出 终端 B 的 IP 地 址 IP B 与 终端 B 的 
MAC 地 址 MAC B 的 绑 定 项 。 终 端 A 将 该 绑 定 项 记录 在 ARP 缓冲 区 中 。 当 以 太 网 中 的 
终端 需要 向 终端 A 发 送 MAC 帧 时 ,可 以 通过 ARP 缓冲 区 中 IP A 与 MAC A 的 绑 定 项 
直接 获取 终端 A 的 MAC 地 址 。 
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图 1.15 ARP 工作 过 程 


如 果 终 端 A 想 要 截获 其 他 终端 发 送 给 终端 C 的 IP 分 组 , 则 终端 A 广播 的 ARP 请 求 
报 文中 会 给 出 终端 C 的 IP 地 址 IP C 与 终端 A 的 MAC 地 址 MAC A 的 绑 定 项 。 终 端 BB 
的 ARP 缓冲 区 中 记录 下 终端 C 的 IP 地 址 IP C 与 终端 A 的 MAC 地址 MAC A 的 绑 定 
项 。 当 终端 B 向 终端 C 发 送 IP 分 组 时 ,目的 IP 地 址 为 IP C 的 IP 分 组 被 错误 地 封装 为 
以 MAC A 为 目的 MAC 地 址 的 MAC 帧 ,以 太 网 将 该 MAC 帧 转发 给 终端 A, 而 不 是 终 
端 C。 
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1. 钓鱼 网 站 实施 原理 

钓鱼 网 站 是 指 黑客 为 模仿 某 个 著名 网 站 而 制作 的 假 网 站 ,用 户 访问 钓鱼 网 站 的 过 程 
是 指 用 户 用 该 著名 网 站 的 域名 访问 到 黑客 为 模仿 该 著名 网 站 而 制作 的 假 网 站 的 过 程 , 即 
虽然 用 户 在 浏览 器 地 址 栏 中 输入 了 该 著名 网 站 的 域名 ,但 实际 访问 的 是 假 网 站 。 

如 果 某 个 著名 银行 网 站 的 域名 是 www. bank. com, 该 域名 标识 的 服务 器 的 全 地 址 是 
202. 11. 22. 33 ,钓鱼 网 站 的 假 网 站 服务 器 的 IP 地 址 是 192. 1. 3. 7, 则 实施 钓鱼 网 站 的 前 提 
是 , 当 用 户 终端 解析 域名 www. bank. com 时 ,域名 系统 返回 的 IP 地 址 不 是 202. 11. 22. 33， 
而 是 192.1. 3. 7。 

2. 访问 钓鱼 网 站 的 后 果 

访问 钓鱼 网 站 的 后 果 极 其 严重 ,如 果 钓 鱼网 站 是 某 个 著名 银行 的 网 站 , 则 用 户 访问 钓 
鱼网 站 时 就 会 泄露 账号 和 密码 ,并 可 能 因此 导致 严重 的 经 济 损失 。 如 果 钓 鱼网 站 主页 中 
包含 脚本 病毒 , 则 访问 钓鱼 网 站 的 后 果 是 使 终端 感染 病毒 。 

3. 钓鱼 网 站 的 实施 过 程 

对 于 用 IP 地 址 为 192. 1. 3.7 的 假 网 站 冒充 域名 为 www. bank. com 的 著名 银行 网 站 
的 例子 ,黑客 可 以 有 多 种 方法 做 到 这 一 点 。 一 是 修改 终端 的 hosts 文件 ,在 hosts 文件 中 
添加 域名 www. bank. com 与 IP 地 址 192. 1. 3.7 的 绑 定 项 ,如 图 1. 16 所 示 。 这 种 攻击 行 
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为 称 为 hosts 文件 劫持 ,是 黑客 人 侵 终 端 后 经 常 实施 的 攻击 行为 。 二 是 修改 终端 配置 的 
本 地 域名 服务 器 地 址 ,用 假 域 名 服务 器 地 址 取代 原来 正确 的 本 地 域名 服务 器 地 址 ,并 在 假 
域名 服务 器 中 配置 域名 www. bank. com 与 IP 地 址 192. 1. 3.7 的 绑 定 项 。 
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Space. 

罗 Additionally, comments (such as these) may be ed 可 a 
" lines or following the machine name denoted by a ’# 
中 exuple: 
# 102. 54. 94. 97 rhino. acme. com # source server 
# 38. 25. 63.10 x.acme.com # x client host 
# localhost name resolution is handled within DNS itself. 
# 127. 0. 0.1 localhr 
# ::1 localhost 
#0. 0. 0. 1 mssplus. mcafee. com 
192.1.3.7 ww. bank. com 
| | 第 1 列 
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1. 非法 访问 原理 

以 下 情况 均 属 于 非法 访问 : 一 是 没有 授权 登录 主机 的 窃 密 者 通过 本 地 或 远程 非法 登 
录 主 机 ,并 访问 主机 中 的 资源 ,如 文件 等 ;二 是 通过 植 人 木马 病毒 ,非法 采集 用 户 私密 信 
息 ,并 将 私密 信息 发 送 给 窃 密 者 ;三 是 通过 设置 后 门 程序 ,允许 窃 密 者 远程 控制 用 户主 机 ， 
访问 用 户主 机 中 的 资源 。 

2. 非法 访问 的 后 果 

非法 访问 的 后 果 十 分 严重 , 窃 密 者 可 能 窍 取 、 自 改 用 户 存储 在 计算 机 中 的 文件 ,窃取 
用 户 存储 在 智能 手机 中 的 通讯 录 、 照 片 ,甚至 可 能 窃取 支付 过 程 中 输入 的 账号 和 密码 , 植 
入 智能 手机 的 木马 病毒 可 以 监听 用 户 的 通话 过 程 截获 发 送 给 用 户 的 短 消息 等 。 

3. 非法 访问 的 实施 过 程 

一 是 公共 计算 机 缺乏 对 文件 的 访问 控制 机 制 , 导 致 任何 使 用 公共 计算 机 的 人 都 可 以 
读 取 , 修 改 、 删 除 存储 在 公共 计算 机 中 的 全 部 文件 。 二 是 在 计算 机 或 智能 手机 中 植 入 木马 
病毒 。 如 图 1. 17 所 示 ,木马 病毒 采用 客户 /服务 器 结构 ,由 客户 端 和 服务 器 端 代码 组 成 ， 
激活 服务 器 端 代码 后 ,黑客 通过 启动 客户 端 代码 和 服务 器 端 建立 连接 ,并 通过 客户 端 对 服 
务 器 端 系统 进行 操作 。 由 于 木马 病毒 主要 用 于 窃取 内 部 网 络 资源 ,而 内 部 网 络 往 往 使 用 
本 地 IP 地 址 ,由 互 连 内 部 网 络 和 外 部 网 络 的 边界 路 由 器 实现 网 络 地 址 转换 功能 。 因 此 ， 
当 黑 客 终 端 连接 在 外 部 网 络 时 ,无 法 由 黑客 终端 发 起 建立 与 内 部 网 络 终端 之 间 的 TCP 连 
接 。 这 种 情况 下 ,首先 需要 启动 客户 端 代 码 , 由 客户 端 代码 负责 侦 听 某 个 端口 ,一旦 激活 
服务 器 端 代码 ,由 服务 器 端 代码 发 起 建立 与 客户 端 之 间 的 TCP 连接 ,并 在 成 功 建立 连接 
后 ,在 客户 端 生 成 一 个 表示 特定 服务 器 端的 图 标 ,黑客 双击 该 图 标 ,弹出 服务 器 端的 资源 
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为 称 为 hosts 文件 劫持 ,是 黑客 人 侵 终 端 后 经 常 实施 的 攻击 行为 。 二 是 修改 终端 配置 的 
本 地 域名 服务 器 地 址 ,用 假 域 名 服务 器 地 址 取代 原来 正确 的 本 地 域名 服务 器 地 址 ,并 在 假 
域名 服务 器 中 配置 域名 www. bank. com 与 IP 地 址 192. 1. 3.7 的 绑 定 项 。 
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1. 非法 访问 原理 

以 下 情况 均 属 于 非法 访问 : 一 是 没有 授权 登录 主机 的 窃 密 者 通过 本 地 或 远程 非法 登 
录 主 机 ,并 访问 主机 中 的 资源 ,如 文件 等 ;二 是 通过 植 人 木马 病毒 ,非法 采集 用 户 私密 信 
息 ,并 将 私密 信息 发 送 给 窃 密 者 ;三 是 通过 设置 后 门 程序 ,允许 窃 密 者 远程 控制 用 户主 机 ， 
访问 用 户主 机 中 的 资源 。 

2. 非法 访问 的 后 果 

非法 访问 的 后 果 十 分 严重 , 窃 密 者 可 能 窍 取 、 自 改 用 户 存储 在 计算 机 中 的 文件 ,窃取 
用 户 存储 在 智能 手机 中 的 通讯 录 、 照 片 ,甚至 可 能 窃取 支付 过 程 中 输入 的 账号 和 密码 , 植 
入 智能 手机 的 木马 病毒 可 以 监听 用 户 的 通话 过 程 截获 发 送 给 用 户 的 短 消息 等 。 

3. 非法 访问 的 实施 过 程 

一 是 公共 计算 机 缺乏 对 文件 的 访问 控制 机 制 , 导 致 任何 使 用 公共 计算 机 的 人 都 可 以 
读 取 , 修 改 、 删 除 存储 在 公共 计算 机 中 的 全 部 文件 。 二 是 在 计算 机 或 智能 手机 中 植 入 木马 
病毒 。 如 图 1. 17 所 示 ,木马 病毒 采用 客户 /服务 器 结构 ,由 客户 端 和 服务 器 端 代码 组 成 ， 
激活 服务 器 端 代码 后 ,黑客 通过 启动 客户 端 代码 和 服务 器 端 建立 连接 ,并 通过 客户 端 对 服 
务 器 端 系统 进行 操作 。 由 于 木马 病毒 主要 用 于 窃取 内 部 网 络 资源 ,而 内 部 网 络 往 往 使 用 
本 地 IP 地 址 ,由 互 连 内 部 网 络 和 外 部 网 络 的 边界 路 由 器 实现 网 络 地 址 转换 功能 。 因 此 ， 
当 黑 客 终 端 连接 在 外 部 网 络 时 ,无 法 由 黑客 终端 发 起 建立 与 内 部 网 络 终端 之 间 的 TCP 连 
接 。 这 种 情况 下 ,首先 需要 启动 客户 端 代 码 , 由 客户 端 代码 负责 侦 听 某 个 端口 ,一旦 激活 
服务 器 端 代码 ,由 服务 器 端 代码 发 起 建立 与 客户 端 之 间 的 TCP 连接 ,并 在 成 功 建立 连接 
后 ,在 客户 端 生 成 一 个 表示 特定 服务 器 端的 图 标 ,黑客 双击 该 图 标 ,弹出 服务 器 端的 资源 
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管理 界面 ,黑客 可 以 对 服务 器 端的 资源 进行 操作 。 木 马 病毒 的 作用 过 程 如 图 1. 17 所 示 。 
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1.17 木马 病毒 的 作用 过 程 
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1. 黑客 入 侵 的 原理 

黑客 人 侵 是 指 黑客 利用 主机 系统 存在 的 漏洞 远程 人 侵 主机 系统 的 过 程 。 黑 客 成 功 入 
侵 的 前 提 有 两 个 : 一 是 黑客 终端 与 攻击 目标 之 间 存 在 传输 通路 ;二 是 攻击 目标 存在 漏洞 。 

漏洞 中 危害 较 大 的 是 0day 漏洞 。0day 漏洞 是 指 在 软件 开发 商 知晓 并 发 布 相关 补 丁 
前 就 被 掌握 或 公开 的 漏洞 。 因 此 黑客 可 以 在 软件 开发 商 发 布 补丁 前 ,开发 出 利用 0day 漏 
洞 实施 攻击 的 攻击 软件 ,并 实施 人 侵 过 程 。 

2. 黑客 入 侵 的 后 果 

黑客 成 功 人 侵 某 台 计算 机 的 后 果 : 一 是 植 和 人 木马 病毒 ,通过 木马 病毒 长 期 非法 访问 
该 计算 机 中 的 资源 ;二 是 设置 后 门 ,通过 后 门 非 法 登录 该 计算 机 ;三 是 植 人 僵 死 病毒 ,使 该 
计算 机 成 为 黑客 控制 的 肉鸡 ”。 

3. 黑客 入 侵 过 程 

黑客 人 侵 过 程 大 致 分 为 信息 收集 ,扫描 渗透 和 攻击 四 个 阶段 。 一 旦 黑客 选 定 攻击 目 
标 ,首先 需要 收集 尽 可 能 多 的 和 攻击 目标 有 关 的 信息 。 扫 描 过 程 用 于 了 解 企业 网 络 的 拓 
扑 结构 ,用户 终端 接 人 方式 ,网 络 应 用 服务 器 使 用 的 操作 系统 和 应 用 程序 的 类 型 .版 本 和 
存在 的 漏洞 等 信息 。 一 旦 黑客 获知 目标 主机 操作 系统 和 应 用 程序 的 类 型 和 版 本 , 便 可 以 
根据 已 经 公开 的 漏洞 在 目标 主机 中 植 人 病毒 程序 或 是 在 目标 主机 中 建立 具有 管理 员 权限 
的 账户 。 黑 客 通过 启动 病毒 程序 的 破坏 功能 对 入 侵 主机 实施 破坏 操作 。 
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1. 恶意 代码 的 定义 

代码 是 指 一 段 用 于 完成 特定 功能 的 计算 机 程序 ,恶意 代码 是 指 经 过 存储 介质 和 网 络 
实现 在 计算 机 系统 间 的 传播 .未 经 授权 地 破坏 计算 机 系统 的 完整 性 、 保 密 性 和 可 用 性 ,其 
至 可 以 对 网 络 发 起 攻击 的 代码 , 它 的 主要 特点 是 非 授权 性 和 破坏 性 。 

2. 恶意 代码 的 分 类 

分 类 恶意 代码 的 标准 主要 是 代码 的 独立 性 和 自我 复制 性 。 独 立 的 恶意 代码 是 指 具备 
一 个 完整 程序 所 应 该 具有 的 全 部 功能 ,能 够 独立 传播 .运行 的 恶意 代码 ,这 样 的 恶意 代码 


se an 


不 需要 寄宿 在 另 一 个 程序 中 。 非 独立 恶意 代码 只 是 一 段 代码 , 它 必须 说 入 某 个 完整 的 程 
序 中 ,作为 该 程序 的 一 个 组 成 部 分 进行 传播 和 运行 。 对 于 非 独 立 恶意 代码 ,自我 复制 过 程 
就 是 将 自身 嵌入 宿主 程序 的 过 程 ,这 个 过 程 也 称 为 感染 宿主 程序 的 过 程 。 对 于 独立 恶意 
代码 ,自我 复制 过 程 就 是 将 自身 传播 给 其 他 系统 的 过 程 。 不 具有 自我 复制 能 力 的 恶意 代 
码 必须 借助 其 他 媒介 进行 传播 。 目 前 具有 的 恶意 代码 种 类 及 属性 如 图 1. 18 所 示 。 按 照 
图 1.18 中 的 分 类 ,名 为 病毒 的 恶意 代码 是 同时 具有 寄生 和 感染 特性 的 恶意 代码 , 称 为 狂 
义 病毒 。 习 惯 上 ,人 们 把 一 切 具有 自我 复制 能 力 的 恶意 代码 统称 为 病毒 ,为 和 狭义 病毒 相 
区 别 , 将 这 种 病毒 称 为 广义 病毒 。 基 于 广义 病毒 的 定义 ,病毒 .蠕虫 和 Zombie 可 以 统称 
为 病毒 。 
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图 1.18 恶意 代码 的 分 类 


(1) 陷阱 门 

陷阱 门 是 某 个 程序 的 秘密 入 口 ,通过 该 人 口 启动 程序 ,可 以 绕 过 正常 的 访问 控制 过 
程 ,因此 ,获悉 陷阱 门 的 人 员 可 以 绕 过 访问 控制 过 程 ,直接 对 资源 进行 访问 。 陷 阱 门 已 经 
存在 很 长 一 段 时 间 ,原先 的 作用 是 程序 员 在 开发 具有 鉴别 或 登录 过 程 的 应 用 程序 时 ,为 避 
免 每 一 次 调试 程序 时 都 要 输入 大 量 鉴别 或 登录 过 程 需 要 的 信息 ,通过 陷阱 门 启 动 程序 的 
方式 绕 过 鉴别 或 登录 过 程 。 程 序 区 别 正常 启动 和 通过 陷阱 门 启 动 的 方式 很 多 ,如 携带 特 
定 的 命令 参数 ,在 程序 启动 后 输入 特定 字符 串 等 。 

程序 设计 者 是 最 有 可 能 设置 陷阱 门 的 人 ,因此 ,许多 免费 下 载 的 实用 程序 中 都 含有 陷 
阱 门 或 病毒 等 恶意 代码 ,使 用 免费 下 载 的 实用 程序 时 必须 注意 这 一 点 。 

(2) 逻辑 炸弹 

逻辑 炸弹 是 指 包 含 在 正常 应 用 程序 中 的 一 段 恶意 代码 , 当 某 种 条 件 出 现时 ,如 到 达 某 
个 特定 日 期 ,增加 或 删除 某 个 特定 文件 等 ,将 激发 这 一 段 恶意 代码 ,执行 这 一 段 恶 意 代码 
将 导致 非常 严重 的 后 果 , 如 删除 系统 中 的 重要 文件 和 数据 ,使 系统 崩溃 等 。 历 史上 不 乏 程 
序 设计 者 利用 逻辑 炸弹 论 诈 用 户 和 报复 用 户 的 案例 。 

(3) 特洛伊 木马 

特洛伊 木马 也 是 包含 在 正常 应 用 程序 中 的 一 段 恶意 代码 ,一 旦 执行 这 样 的 应 用 程序 ， 
将 激发 恶意 代码 。 顾 名 思 义 ,这 一 段 恶 意 代码 的 功能 主要 在 于 削弱 系统 的 安全 控制 机 制 ， 
如 在 系统 登录 程序 中 加 入 陷阱 门 ,以 便 黑 客 能 够 绕 过 登录 过 程 直 接 访问 系统 资源 ;将 共享 
文件 的 只 读 属 性 修改 为 可 读 写 属性 ,以 便 黑 客 能 够 对 共享 文件 进行 修改 ,甚至 允许 黑客 通 
过 远程 桌面 等 工具 软件 控制 系统 。 

(4) 病毒 

这 里 的 病毒 指 狭义 上 的 恶意 代码 类 型 , 单 指 那 种 既 具 有 自我 复制 能 力 ,又 必须 寄生 在 其 
他 应 用 程序 中 的 恶意 代码 , 它 和 陷阱 门 .逻辑 炸弹 的 最 大 不 同 在 于 自我 复制 能 力 。 通 常情 况 
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下 ,陷阱 门 .逻辑 炸弹 不 会 感染 其 他 应 用 程序 ,而 病毒 会 自动 将 自身 嵌入 其 他 应 用 程序 。 

(5) 蠕虫 

从 病毒 的 广义 定义 来 说 ,蠕虫 也 是 一 种 病毒 ,但 它 和 狭义 病毒 的 最 大 不 同 在 于 自我 复 
制 过 程 ,病毒 的 自我 复制 过 程 需要 人 工 干预 ,无 论 是 运行 感染 病毒 的 应 用 程序 ,还 是 打开 
包含 宏 病 毒 的 邮件 ,都 不 是 由 病毒 程序 自我 完成 的 。 蠕 虫 能 够 自我 完成 下 述 步骤 ， 

。 查找 远程 系统 : 能 够 通过 检索 已 被 攻陷 的 系统 的 网 络 邻居 列表 或 其 他 远程 系统 
地 址 列表 找 出 下 一 个 攻击 对 象 。 
建立 连接 : 能 够 通过 端口 扫描 等 操作 过 程 自 动 和 被 攻击 对 象 建立 连接 ,如 Telnet 
实施 攻击 : 能 够 自动 将 自身 通过 已 经 建立 的 连接 复制 到 被 攻击 的 远程 系统 ,并 运 
行 它 。 

(6) Zombie 

Zombie( 俗 称 僵尸 ) 是 一 种 利用 秘密 接管 连接 在 网 络 上 的 其 他 系统 ,并 以 此 系统 为 平 
台 发 起 对 某 个 特定 系统 的 攻击 的 恶意 代码 。Zombie 主要 用 于 定义 恶意 代码 的 功能 ,并 没 
有 涉及 该 恶意 代码 的 结构 和 自我 复制 过 程 , 因 此 ,分 别 存在 符合 狭义 病毒 的 定义 和 蠕虫 定 
义 的 Zombie。 

3. 病毒 植 入 和 传播 过 程 

编制 一 个 病毒 程序 并 不 难 , 难 的 是 如 何 将 病毒 程序 第 一 次 植 入 某 个 计算 机 系统 ,并 予 
以 激活 。 

(1) 宏 病 毒 

宏 操 作 人 允许 在 字 处 理 文件 或 者 其 他 办 公 软 件 生成 的 文件 中 嵌入 可 执行 程序 ,这 种 可 
执行 程序 称 为 宏 代码 ,用 类 似 Basic 语言 的 编程 语言 编写 而 成 。 所 谓 的 宏 病 毒 就 是 将 病 
毒 作为 宏 代 码 嵌 入 字 处 理 文件 或 者 其 他 办 公 软 件 生成 的 文件 中 ,一 旦 用 户 打开 该 文件 , 便 
会 激发 宏 操作 ,完成 病毒 植 人 和 首次 激活 过 程 。 

(2) 电子 邮件 病毒 

电子 邮件 是 目前 常见 的 端 到 端 通信 方式 ,由 于 一 些 免费 的 电子 信箱 不 提供 防 病毒 措 
施 ,导致 电子 邮件 成 为 传播 病毒 的 良好 工具 。 最 初 的 电子 邮件 病毒 将 包含 宏 病 毒 的 字 处 
理 文件 或 其 他 办 公 软 件 生成 的 文件 作为 邮件 附件 进行 传输 ,人 们 打开 邮件 附件 的 同时 激 
活 宏 病毒 。 宏 病毒 除了 感染 本 系统 外 ,还 会 将 同样 的 电子 邮件 发 送 给 系统 地 址 短 中 成 员 
列表 给 出 的 邮件 地 址 ,这 些 邮 件 地 址 的 用 户 因为 收 到 的 是 从 熟悉 的 邮件 地 址 发 送 来 的 电 
子 邮 件 , 所 以 往往 会 毫 无 戒心 地 打开 邮件 附件 ,导致 该 邮件 的 新 一 轮 传播 。 电 子 邮件 病毒 
在 攻陷 某 个 终端 后 ,将 快速 扩散 到 整个 网 络 。 

(3) 网 页 病毒 

许多 网 页 是 戏 和 脚本 程序 的 ,因此 ,网 页 中 可 能 嵌入 了 用 脚本 语言 编写 的 病毒 ,一 旦 
浏览 嵌入 病毒 的 网 页 ,就 可 以 激活 病毒 ,并 完成 病毒 的 感染 过 程 。 

(4) 蠕虫 病毒 

蠕虫 病毒 能 够 自动 地 从 一 个 计算 机 系统 传播 到 另 一 个 计算 机 系统 并 激活 ,然后 开始 
新 一 轮 的 传播 过 程 。 蠕 虫 病毒 和 其 他 病毒 的 不 同 点 在 于 传播 和 激活 均 由 病毒 自身 自动 完 


成 ,因此 ,蠕虫 病毒 是 扩散 最 快 的 病毒 。 
137 智能 手机 面临 的 安全 威胁 


1. 安全 威胁 

(1) 伪 基 站 

智能 手机 接 和 人 移动 通信 网 络 的 过 程 如 图 1. 19 所 示 ,智能 手机 首先 需要 进入 某 个 基站 
的 有 效 通 信 范 围 ,然后 由 该 基站 完成 对 智能 手机 的 身份 --------- < 


鉴别 过 程 , 确 认 注 册 智 能 手机 后 ,完成 该 智能 手机 接 和 人 ,7 a 
移动 通信 网 络 的 过 程 。 该 智能 手机 可 以 进行 移动 通信 “『 图 类 ) 
和 接收 发 送 短 消息 的 过 程 。 由 于 全 球 移动 通信 系统 、、 手 机 二 ,// 


(Global System for Mobile communication,GSM) 只 能 et Se 
由 基站 对 智能 手机 进行 身份 鉴别 ,智能 手机 无 法 对 基站 图 1.19 移动 通信 网 络 接 入 过 程 
进行 身份 鉴别 ,因此 ,在 GSM 方式 下 ,黑客 可 以 伪造 一 
个 基站 ( 称 为 伪 基 站 ) 让 智能 手机 接 和 人 ,一旦 智能 手机 与 伪 基站 建立 连接 , 伪 基 站 可 以 向 智 
能 手机 发 送 假 的 短 消 息 , 这 些 短 消息 的 发 送 号 码 可 以 是 伪 基站 生成 的 任何 号 码 。 这 些 短 
消息 中 ,有 些 是 诈骗 短 消 息 , 有 些 是 戏 和 人 各 种 链接 的 短 消息 ,这 些 链接 通常 指向 钓鱼 网 站 
和 诱导 用 户 下 载 包含 木马 病毒 的 应 用 程序 的 网 站 。 

(2) 木马 病毒 

智能 手机 与 普通 计算 机 相 比 , 增 加 了 以 下 感染 木马 病毒 的 途径 。 一 是 下 载 包含 木马 
病毒 的 应 用 程序 。 有 些 黑客 将 木马 病毒 嵌入 常用 的 应 用 程序 中 ,并 将 应 用 程序 上 传 至 缺 
乏 安 全 认证 的 智能 手机 软件 论坛 ,一 旦 论坛 成 员 下 载 并 运行 该 应 用 程序 ,该 智能 手机 就 会 
感染 木马 病毒 。 二 是 用 二 维 码 方式 给 出 链接 ,或 是 在 短 消息 中 嵌入 链接 ,一 旦 进入 链接 指 
向 的 网 页 ,就 会 诱导 用 户 下 载 并 安装 木马 程序 。 

(3) 后 门 程序 

后 门 程序 一 般 是 指 那些 用 于 实现 绕 过 安全 性 控制 而 获取 对 程序 或 系统 访问 权 的 程 
序 ,在 一 些 非 正规 厂家 生产 的 手机 或 是 通过 非 正规 渠道 购买 的 手机 中 ,可 能 事先 嵌入 了 后 
门 程序 。 黑 客 可 以 通过 后 门 程序 窃取 手机 中 的 资料 ,在 手机 中 植 和 木马 病毒 。 

(4) BYOD 

携带 自己 的 设备 办 公 (Bring Your Own Device, BYOD) 是 指 通 过 在 自己 的 智能 手机 
上 安装 办 公 软 件 , 将 自己 的 智能 手机 转变 为 企业 的 办 公 终 端 。 这样 做 ,一 是 可 以 节省 企业 
运行 成 本 ,二 是 满足 了 不 同 员工 的 个 性 化 需求 ,但 副作用 是 会 引发 安全 问题 。 办 公 过 程 
中 ,智能 手机 会 同步 存储 一 些 企 业 私密 信息 ,由 于 办 公 环 境 是 内 部 网 络 , 受 防 火 墙 和 网 络 
地 址 转换 (Network Address Translation,NAT) 的 保护 ,因此 ,办 公 环 境 下 的 智能 手机 是 
相对 安全 的 。 当 用 户 在 公共 场所 使 用 智能 手机 时 ,就 有 可 能 泄露 存储 在 智能 手机 中 的 企 
业 私密 信息 。 

2. 不 良 后 果 

(1) 移动 窃听 器 

手机 一 旦 被 植 和 病毒 , 便 可 以 成 为 一 个 移动 的 窃听 器 ,病毒 可 以 打开 手机 麦克 风 , 监 
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听 周 围 声音 ,并 将 记录 的 声音 发 送 给 黑客 。 

(2) 泄露 私密 信息 

木马 病毒 能 够 窃取 账号 .密码 .电话 本 中 的 联系 人 ,手机 中 存储 的 照片 .接收 和 发 送 过 
的 短 消 息 等 个 人 私密 信息 和 因为 BYOD 而 存储 在 智能 手机 中 的 企业 私密 信息 ,并 将 这 些 
私密 信息 上 传 到 某 台 指定 的 服务 器 。 

(3) 监听 通话 过 程 

木马 病毒 能 够 记录 整个 通话 过 程 的 语音 数据 ,并 将 语音 数据 上 传 到 某 台 指定 的 服务 
器 ,通过 回放 记录 的 语音 数据 还 原 整个 通话 过 程 。 

(4) 截获 短 消 息 

木马 病毒 可 以 截获 发 送 给 手机 的 短 消 息 ,并 将 截获 的 短 消息 转发 给 黑客 ,黑客 因此 获 
得 验证 码 等 重要 信息 。 

(5) 窃取 支付 账户 和 密码 

木马 病毒 通过 监控 用 户 操作 手机 的 过 程 ,窃取 用 户 在 移动 支付 过 程 中 输入 的 支付 密 
码 等 私密 信息 ,并 将 这 些 私密 信息 发 送 给 黑客 。 

(6) 跟踪 

病毒 程序 可 以 定时 采样 .记录 手机 的 位 置信 息 , 并 将 采样 .记录 的 手机 位 置信 息 发 送 
给 黑客 ,黑客 将 记录 的 位 置信 息 和 地 图 结合 ,可 以 得 出 用 户 任意 时 间 段 的 活动 轨迹 。 

(7) 恶意 扣 费 

病毒 程序 可 以 启动 一 些 收 费 服务 ,偷偷 拨打 收费 声讯 电话 ,导致 用 户 的 话费 急剧 
增加 。 


1.4 信息 安全 技术 


攻击 和 防御 是 矛盾 的 两 个 方面 ,针对 各 种 攻击 行为 ,有 着 各 种 防御 攻击 行为 的 安全 技 
术 , 本 教材 着 重 讨论 的 信息 安全 技术 主要 是 用 于 保障 存储 在 计算 机 和 智能 手机 中 的 信息 
的 保密 性 、 完 整 性 和 可 用 性 的 安全 技术 。 


14.1 病毒 防御 技术 


病毒 防御 技术 需要 从 以 下 三 个 方面 实施 对 病毒 的 防御 : 一 是 避免 感染 病毒 ;二 是 及 
时 删除 植 入 的 病毒 程序 ;三 是 控制 病毒 程序 造成 的 危害 。 

1. 避免 感染 病毒 

避免 感染 病毒 需要 做 到 以 下 几 点 。 

。 不 打开 来 历 不 明 的 邮件 ， 

。 不 访问 没有 经 过 安全 认证 的 网 站 ; 

。 不 从 没有 经 过 安全 认证 的 网 站 下 载 并 运行 应 用 程序 ; 

* 不 随便 扫描 二 维 码 ; 

。 不 随便 进入 短 消 息 和 二 维 码 中 链接 所 指向 的 网 页 。 
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2. 检测 病毒 

及 时 删除 植 入 的 病毒 程序 需要 做 到 以 下 几 点 。 
。 安装 病毒 检测 程序 ; 

。 及 时 更 新 病毒 库 ; 

。 定期 扫描 系统 ; 

。 及 时 隔离 感染 病毒 的 文件 。 

3. 监控 程序 运行 过 程 

控制 病毒 程序 造成 的 危害 需要 做 到 以 下 几 点 。 
实时 监控 程序 运行 过 程 ; 

限制 对 重要 系统 资源 的 访问 ; 

。 及 时 报警 ; 

。 记录 安全 日 志 。 
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无 线 通 信和 包括 无 线 局 域 网 通信 过 程 移动 通信 网 络 通 信 过 程 和 无 线 数据 通信 网 络 通 
信 过 程 。 需 要 从 以 下 三 个 方面 解决 无 线 通信 的 安全 问题 : 一 是 身份 鉴别 ;二 是 加 密 ;三 是 
完整 性 检测 。 

1. 身份 鉴别 

智能 手机 无 论 是 接 人 热点 (无 线路 由 器 ) 还 是 接 和 人 基站 ,都 涉及 身份 鉴别 过 程 。 身 份 
鉴别 过 程 保 证 只 允许 授权 用 户 接 人 热点 和 基站 。 对 于 热点 ,标识 授权 用 户 的 信息 通常 是 
用 户 名 和 密码 ,因此 ,只 有 提供 正确 的 用 户 名 和 密码 的 用 户 才 被 允许 接 入 热点 。 对 于 基 
站 ,标识 授权 用 户 的 信息 存储 在 SIM 卡 或 UIM 卡 中 ,因此 ,只 有 安装 了 有 效 的 SIM 卡 或 
UIM 卡 的 手机 才 被 允许 接 入 基站 。 

单 向 鉴别 是 指 只 允许 热点 和 基站 鉴别 接 人 用 户 身 份 ,用 户 不 对 热点 和 基站 的 身份 进 
行 鉴别 的 身份 鉴别 方式 , 单 向 鉴别 容易 导致 伪造 热点 和 基站 的 情况 发 生 。 因 此 ,安全 的 身 
份 鉴 别 机 制 应 该 是 双向 鉴别 , 即 热点 和 基站 只 允许 授权 用 户 接 人 ,授权 用 户 只 接 人 经 过 安 
全 认证 的 热点 和 基站 。 

2. 加 密 

无 线 通信 的 特点 是 空间 开放 性 和 频段 开放 性 。 空 间 开放 性 是 指 所 有 在 发 送 设备 的 电 
磁 波 有 效 传播 范围 内 的 接收 设备 均 可 接收 到 发 送 设备 发 送 的 电磁 波 。 频 段 开放 性 是 指 无 
论 是 无 线 局 域 网 使 用 的 频段 还 是 移动 通信 网 络 使 用 的 频段 都 是 标准 的 .公开 的 ,这 就 导致 
所 有 想 接收 某 个 设备 发 送 的 电磁 波 的 人 员 ,只 要 能 够 进入 该 设备 的 电磁 波 有 效 传播 范围 ， 
就 可 接收 到 该 设备 发 送 的 电磁 波 。 

因此 ,在 将 数据 转换 成 电磁 波 之 前 ,必须 先 对 数据 进行 加 密 。 通 常 将 加 密 前 的 数据 称 
为 明文 ,将 加 密 后 的 数据 称 为 密 文 。 一 旦 发 送 者 对 数据 进行 加 密 , 窍 听 者 通过 窃听 电磁 波 
还 原 的 数据 就 是 发 送 者 加 密 明 文 后 的 密 文 ,如 果 窃 听 者 不 能 对 密 文 进行 解密 , 便 无 法 得 到 
发 送 者 的 明文 ,从 而 保证 了 经 过 无 线 信道 传输 的 数据 的 保密 性 。 
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3. 完整 性 检测 

如 果 黑 客 对 发 送 端 发 送 的 数据 进行 了 自 改 ,但 接收 端 由 于 没有 觉察 到 已 经 发 生 的 自 
改 , 正 常 接收 了 数据 , 则 发 送 端 发 送 的 数据 的 完整 性 被 破坏 。 

完整 性 检测 是 一 种 接收 端 能 够 检测 出 接收 到 的 数据 在 传输 过 程 中 是 否 被 自 改 的 机 
制 。 增 加 完整 性 检测 这 一 机 制 后 ,接收 端 接收 到 数据 时 首先 判断 数据 在 传输 过 程 中 是 否 
被 算 改 ,确认 数据 在 传输 过 程 中 没有 被 自 改 后 才 正 常 接收 、 处 理 数据 ,否则 丢弃 接收 到 的 
数据 。 
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需要 从 以 下 四 个 方面 保障 电子 商务 的 安全 : 源 端 鉴别 数字 签名 、 加 密 \ 完 整 性 检测 。 

1. 源 端 鉴 别 

源 端 鉴别 是 一 种 接收 端 能 够 确认 数据 发 送 端的 机 制 。 一 旦 启用 源 端 鉴别 ,对 于 发 送 
端 X 发 送 的 数据 ,接收 端 能 够 证 明 数 据 的 发 送 端 是 XX。 

电子 商务 中 ,为 了 防止 用 户 X 假 冒 用 户 Y 向 商家 发 送 购 货 请 求 的 情况 发 生 ,商家 必 
须 能 够 通过 源 端 鉴 别 证 实 发 送 购 货 请 求 的 用 户 与 购 货 请 求 中 指明 的 用 户 是 否 一 致 。 同 
样 , 为 了 防止 商家 X 假冒 商家 Y 向 银行 发 送 支付 请 求 , 银 行 也 必须 能 够 通过 源 端 鉴别 证 
实 发 送 支 付 请 求 的 商家 与 支付 请 求 中 指明 的 商家 是 否 一 致 。 

2. 数字 签名 

为 了 防止 用 户 X 向 商家 发 送 购 货 请 求 后 ,否认 曾经 向 商家 发 送 过 购 货 请 求 , 要 求 用 
户 X 对 发 送 的 购 货 请 求 进行 数字 签名 (Digital Signature,DS) 。 

现实 世界 中 ,往往 通过 对 文件 签名 表明 签名 者 对 该 文件 的 确认 、 核 准 等 。 计 算 机 网 络 
中 ,数字 签名 是 某 个 报 文 的 附加 信息 ,该 附加 信息 一 是 能 够 证 明 签 名 者 的 真实 性 ,二 是 能 
够 证 明 签名 者 对 该 报 文 的 确认 ,因此 具有 如 下 特征 : 

。 接收 者 能 够 核实 发 送 者 对 报 文 的 数字 签名 ; 

。 发 送 者 事后 无 法 否认 对 报 文 的 数字 签名 ; 

。 接收 者 无 法 伪造 发 送 者 对 报 文 的 数字 签名 。 

总 之 ,数字 签名 必须 保证 唯一 性 、 关 联 性 和 可 证 明 性 ,唯一 性 保证 只 有 特定 发 送 者 能 
够 生成 数字 签名 。 关 联 性 保证 是 对 特定 报 文 的 数字 签名 。 可 证 明 性 表明 该 数字 签名 的 唯 
一 性 和 与 特定 报 文 的 关联 性 可 以 得 到 证 明 。 

一 旦 用 户 X 对 发 送 的 购 货 请 求 进行 数字 签名 ,可 以 由 第 三 方 证 明 商家 提供 的 购 货 请 
求 确实 是 用 户 X 发 送 的 。 同 样 ,银行 也 要 求 商家 对 发 送 的 支付 请 求 进行 数字 签名 。 

3. 加 密 

用 户 发 送 的 支付 授权 中 可 能 包含 用 户 账号 、 密 码 等 私密 信息 ,为 了 防止 这 些 私密 信息 
被 除 用 户 和 银行 外 的 第 三 方 窃取 ,要 求 用 户 在 传输 前 对 这 些 私密 信息 进行 加 密 , 且 保证 只 
有 银行 能 够 对 密 文 进行 解密 。 

4. 完整 性 检测 

购 货 请 求 和 支付 请 求 在 传输 过 程 中 ,不 允许 对 购 货 请 求 中 的 商品 清单 和 支付 请 求 中 
的 支付 金额 等 进行 自 改 ,因此 ,商家 和 银行 必须 能 够 通过 完整 性 检测 确定 接收 到 的 购 货 请 
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求 和 支付 请 求 是 否 已 经 被 算 改 。 
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需要 从 以 下 四 个 方面 保障 数据 安全 : 备份 恢复. 加密 、 授 权 访 问 。 

1. 备份 

存储 在 计算 机 中 的 数据 是 不 安全 的 ,其 原因 : 一 是 计算 机 的 存储 设备 本 身 可 能 会 损 
坏 ;二 是 黑客 可 能 通过 入 侵 自 改 和 删除 数据 。 因 此 ,重要 的 数据 需要 备份 。 简 单 的 备份 是 
用 移动 存储 设备 复制 文件 ,但 这 种 备份 方式 需要 手工 完成 , 且 无 法 实时 进行 。 较 好 的 备份 
方式 是 对 重要 数据 进行 实时 、 自 动 备份 。 

2. 恢复 

恢复 是 一 种 还 原 被 删除 的 重要 数据 的 机 制 。 如 果 重 要 数据 被 错误 地 删除 且 没 有 备 
份 ,就 需要 通过 恢复 还 原 被 删除 的 重要 数据 。 

3. 加 密 

存储 在 计算 机 和 智能 手机 中 的 数据 可 能 包含 私密 信息 ,黑客 人 侵 和 病毒 又 使 得 所 有 
存储 在 计算 机 和 智能 手机 中 的 数据 都 存在 泄露 的 可 能 。 为 保护 私密 信息 ,可 靠 的 方法 是 
只 在 计算 机 和 智能 手机 中 存储 加 密 私密 信息 后 的 密 文 。 只 要 黑客 无 法 解密 密 文 ,即使 通 
过 非法 途径 获取 存储 在 计算 机 和 智能 手机 中 加 密 私密 信息 后 生成 的 密 文 ,也 能 保证 这 些 
私密 信息 的 保密 性 。 

4. 授权 访问 

授权 访问 是 对 数据 进行 分 类 , 且 针 对 每 一 类 数据 对 所 有 用 户 设置 访问 权限 。 某 个 用 
户 的 访问 权限 规定 了 该 用 户 可 以 对 数据 进行 的 操作 ,如 读 、 写 ,管理 等 。 因 此 ,实现 授权 访 
问 需要 解决 两 个 问题 : 一 是 确定 你 是 谁 ;二 是 确定 你 能 做 什么 。 通 过 用 户 身份 鉴别 确定 
你 是 谁 , 通 过 对 数据 授权 确定 你 能 对 数据 做 什么 。 
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Windows 是 普通 用 户 最 常用 的 操作 系统 ,挖掘 和 利用 Windows 的 安全 功能 是 保护 
计算 机 安全 的 最 有 效 手 段 。Windows 的 安全 功能 包括 防火 墙 . 数 据 保护 、 审 计 等 。 

1. 防火 墙 

Windows 的 主机 防火 墙 功能 是 防御 黑客 人 侵 的 有 效 手段 。 终 端 可 以 主动 发 起 访问 
互联 网 中 资源 的 过 程 ,终端 也 可 以 被 动 接受 互联 网 中 其 他 终端 发 起 的 对 它 的 访问 过 程 。 
黑客 人 侵 某 个 终端 ,通常 都 是 由 黑客 主动 发 起 对 该 终端 的 访问 过 程 。 木 马 病毒 向 互联 网 
中 的 黑客 终端 泄露 私密 信息 时 ,通常 由 木马 病毒 主动 发 起 访问 互联 网 中 黑客 终端 的 过 程 。 
因此 ,需要 对 终端 主动 发 起 访问 互联 网 中 资源 的 过 程 和 终端 被 动 接受 互联 网 中 其 他 终端 
发 起 的 对 它 的 访问 过 程 的 实施 控制 。Windows 7 防火 墙 用 入 站 规则 控制 终端 被 动 接受 互 
联网 中 其 他 终端 发 起 的 对 它 的 访问 过 程 ,用 出 站 规则 控制 终端 主动 发 起 的 访问 互联 网 中 
资源 的 过 程 。 

2. 数据 保护 

Windows 提供 的 数据 保护 功能 主要 有 加 密 和 授权 访问 。 
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(1) 加 密 

Windows 7 具有 多 种 加 密 手段 ,可 以 对 存储 在 计算 机 中 的 单个 文件 进行 加 密 , 也 可 以 
对 整个 分 区 进行 加 密 。 有 些 加 密 后 的 密 文 只 能 在 本 机 浏览 ,一 旦 离开 本 机 环境 ,将 无 法 正 
常 浏览 ,以 此 保证 计算 机 中 的 数据 不 被 非法 复制 。 有 些 加 密 后 的 密 文 即使 在 本 机 浏览 时 
也 需要 输入 密码 ,以 此 保证 计算 机 中 的 数据 不 被 非法 访问 。 

(2) 授权 访问 

Windows 7 的 授权 访问 分 为 两 部 分 。 一 是 创建 用 户 ,并 在 创建 用 户 时 分 配 用 户 名 和 
密码 。 登 录 时 ,只 有 输入 合法 用 户 的 用 户 名 和 密码 后 , 才 被 允许 登录 计算 机 。 二 是 为 需要 
授权 访问 的 文件 和 文件 夹 分 配 权限 。 分 配 权限 时 ,可 以 为 每 一 个 用 户 指 定 访问 该 文件 或 
文件 夹 的 权限 ,这 些 权限 包括 读 、 写 、 删 除 等 操作 。 

这 样 ,只 有 创建 的 合法 用 户 才能 登录 该 计算 机 系统 ,每 一 个 用 户 只 能 按照 授权 对 文件 
和 文件 夹 进行 操作 。 

3. 安全 审计 

安全 审计 分 为 两 部 分 : 一 是 通过 日 志 记录 计算 机 中 完成 的 操作 ;二 是 对 日 志 记录 的 
操作 进行 统计 、 分 析 。 黑 客人 侵 计 算 机 的 过 程 和 病毒 程序 破坏 计算 机 中 资源 的 过 程 涉及 
一 系列 操作 ,计算 机 中 的 日 志 可 以 记录 这 些 操作 和 实施 这 些 操作 的 时 间 , 通 过 分 析 日 志 记 
录 的 信息 ,一 是 可 以 发 现 黑客 的 人 侵 途径 和 实施 的 破坏 操作 ,以 及 病毒 程序 的 传播 途径 和 
实施 的 破坏 操作 等 ,以 此 发 现 系统 漏洞 , 找 出 对 策 ; 二 是 可 以 找 出 作为 黑客 人 侵 和 病毒 程 
序 实施 破坏 过 程 的 证 据 的 信息 。 对 计算 机 中 重要 资源 实施 破坏 是 一 种 犯罪 行为 ,计算 机 
中 记录 犯罪 行为 实施 过 程 的 信息 可 以 作为 证 据 。 因 此 ,计算 机 取证 已 经 成 为 将 黑客 和 病 
毒 传播 者 绳 之 以 法 的 重要 一 环 ,而 安全 审计 已 经 成 为 计算 机 取证 的 重要 手段 。 


本 章 小 结 


信息 技术 领域 中 的 信息 就 是 计算 机 用 于 表示 信息 的 各 种 类 型 的 数据 。 

互联 网 和 移动 互联 网 的 广泛 应 用 使 得 信息 与 人 们 的 日 常生 活 息息相关 。 

智能 手机 随时 随地 可 以 上 网 的 特性 和 智能 手机 配备 的 各 种 类 型 传感器 使 得 以 智 
能 手机 为 终端 设备 的 移动 互联 网 的 应 用 更 加 深入 和 普及 。 

互联 网 和 移动 互联 网 使 得 信息 成 为 有 着 重要 价值 的 资源 ,针对 信息 的 各 种 攻击 行 
为 开始 出 现 

面 对 各 种 安全 威胁 ,各 种 安全 技术 应 运 而 


习 题 


1.1 信息 技术 领域 中 的 信息 指 的 是 什么 ? 

1.2 为 什么 说 互联 网 和 移动 互联 网 的 广泛 应 用 使 得 信息 与 人 们 的 日 常生 活 息 息 
相关 ? 

1.3 举例 说 明日 常生 活 中 使 用 的 信息 。 


1.4 移动 互联 网 的 特征 是 什么 ? 

1.5 智能 手机 与 普通 计算 机 系统 相 比 ,有 哪些 相同 点 和 不 同 点 ? 

1.6 移动 互联 网 有 哪些 传统 互联 网 所 没有 的 应 用 ? 这 些 应 用 是 如 何 改变 人 们 的 生 
活 方式 的 ? 

1.7 互联 网 和 移动 互联 网 中 的 信息 面临 着 哪些 安全 威胁 ? 

1.8 举例 说 明 你 遇 到 过 的 安全 问题 。 

1.9 有 哪些 措施 用 于 保障 计算 机 中 信息 的 安全 ? 

1.10 有 哪些 措施 用 于 保障 智能 手机 中 信息 的 安全 ? 
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信息 安全 基础 


保障 信息 保密 性 和 完整 性 的 基础 是 加 密 算法 和 报 文摘 要 算法 。 证 书 和 公开 密 钥 加 密 
算法 引申 出 数字 签名 ,数字 签名 可 以 解决 信息 的 不 可 抵赖 性 和 源 端 鉴别 。 无论 是 访问 控 
制 还 是 Internet 接 入 ,首先 需要 解决 的 问题 是 身份 鉴别 。 


2.1 加 密 解 密 算法 


加 密 解 密 算法 已 经 存在 很 长 时 间 , 在 军事 上 得 到 广泛 应 用 。 计 算 机 和 互联 网 的 诞生 
一 是 对 加 密 解 密 算法 的 安全 性 提出 了 更 高 的 要 求 , 二 是 使 得 加 密 解密 算法 成 为 实现 网 络 
环境 下 的 信息 保密 性 的 基础 。 


21.1 基本 概念 


1. 加 密 解 密 本 质 

加 密 前 的 原始 信息 称 为 明文 ,加 密 后 的 信息 称 为 密 文 ,加 密 过 程 就 是 明文 至 密 文 的 转 
换 过 程 。 为 了 保障 信息 的 保密 性 ,不 能 通过 密 文 了 解 明文 的 内 容 。 明 文 至 密 文 的 转换 过 
程 必须 是 可 逆 的 ,解密 过 程 就 是 加 密 过 程 的 逆 过 程 ,是 密 文 至 明文 的 转换 过 程 。 

2. 传统 加 密 解密 算法 

(1) 凯撒 密码 

凯撒 密码 是 一 种 通过 用 其 他 字符 替代 明文 中 的 每 一 个 字符 ,完成 将 明文 转换 成 密 文 
的 加 密 算法 。 凯 撒 密码 完成 由 明文 至 密 文 的 转换 过 程 如 下 : 将 构成 文本 的 每 一 个 字符 用 
字符 表 中 该 字符 之 后 的 第 三 个 字符 替代 ,这 种 转换 过 程 假定 字符 表 中 字符 顺序 是 循环 的 ， 
因此 ,字符 表 中 字符 Z 之 后 的 第 一 个 字符 是 A。 通 过 这 样 的 转换 过 程 ,明文 GOOD 
MORNING 转换 成 密 文 JRRG PRUQLQJ。 显 然 ,不 能 通过 密 文 JRRG PRUQLQJ 了 解 
明文 GOOD MORNING 表示 的 内 容 。 

凯撒 密码 完成 由 密 文 至 明文 的 转换 过 程 如 下 : 将 构成 文本 的 每 一 个 字符 用 字符 表 中 
该 字符 之 前 的 第 三 个 字符 替代 。 

(2) 换 位 密码 

换 位 密码 是 一 种 通过 改变 明文 中 每 一 个 字符 的 位 置 , 完 成 将 明文 转换 成 密 文 的 加 密 
算法 。 下 面 以 4 个 字符 一 组 的 换 位 密码 为 例 ,讨论 加 密 解 密 过 程 。 首 先 定义 换 位 规则 ,如 
(2,4,1,3)。 然 后 将 明文 以 4 个 字符 为 单位 分 组 ,因此 ,明文 GOOD MORNING 分 为 
GOOD MORN ING 口 , 口 是 填 充 字符 ,其 用 途 是 使 得 每 一 组 字符 都 包含 4 个 字符 。 加 密 




















第 章 “信息 安 全 基础 


以 每 一 组 字符 为 单位 单独 进行 ,因此 ,4 个 字符 一 组 的 明文 ,加 密 后 成 为 4 个 字符 一 组 的 
密 文 。 加 密 过 程 根据 换 位 规则 (2,4,1,3) 进 行 , 换 位 规则 (2,4,1,3) 表 示 每 一 组 明文 字符 
中 的 第 2 个 字符 作为 该 组 密 文 字符 中 的 第 1 个 字符 ,每 一 组 明文 字符 中 的 第 4 个 字符 作 
为 该 组 密 文 字符 中 的 第 2 个 字符 ,每 一 组 明文 字符 中 的 第 1 个 字符 作为 该 组 密 文字 符 中 
的 第 3 个 字符 ,每 一 组 明文 字符 中 的 第 3 个 字符 作为 该 组 密 文字 符 中 的 第 4 个 字符 。 加 
密 过 程 如 图 2. 1(a) 所 示 ,明文 GOOD MORN ING 口 转换 成 密 文 ODGO ONMR NDIG。 
解密 过 程 是 加 密 过 程 的 逆 过 程 ,根据 加 密 过 程 使 用 的 换 位 规则 (2,4,1,3), 解 密 过 程 需要 
将 每 一 组 密 文中 的 第 1 个 字符 作为 该 组 明文 中 的 第 2 个 字符 ,每 一 组 密 文中 的 第 2 个 字 
符 作 为 该 组 明文 中 的 第 4 个 字符 ,每 一 组 密 文 中 的 第 3 个 字符 作为 该 组 明文 中 的 第 1 个 
字符 ,每 一 组 密 文中 的 第 4 个 字符 作为 该 组 明文 中 的 第 3 个 字符 ,由 此 得 出 解密 过 程 使 用 
的 换 位 规则 是 (3,1,4,2)。 解 密 过 程 如 图 2. 1(b) 所 示 。 














GOOP MORN INGo QRGO ONMR NalG 
ODGO ONMR NolG GOOD MORN INGo 
(a) 加 密 过 程 (b) 解密 过 程 


图 2.1 换 位 密码 的 加 密 解 密 过 程 


3. 现代 加 密 解密 算法 
将 实现 明文 转换 成 密 文 的 系统 称 为 密码 系统 ,密码 系统 也 称 为 密码 体制 。 密 码 体制 
由 明文 m、 密 文 c、 加 密 算法 下、 加 密 密 钥 ke、 解 密 算法 D 和 解密 密 钥 kd 组 成 。 明 文 m 转 
换 成 密 文 c 的 过 程 如 下 。 
c 三 E(m,ke), 即 加 密 算法 是 一 个 二 元 函数 ,加 密 过 程 是 以 明文 m 和 加 密 密 钥 ke 为 
输入 的 加 密 函 数 运算 过 程 。c 二 EC(m,ke) 也 可 以 用 c 二 Ek.(m) 表 示 , 以 突出 明文 m 和 加 密 
密 钥 ke 之 间 的 区 别 。 
密 文 转换 成 明文 m 的 过 程 如 下 。 
m 三 D(c,kd) ,解密 算法 同样 是 一 个 二 元 函数 ,解密 过 程 是 以 密 文 c 和 解密 密 钥 kd 为 
输入 的 解密 函数 运算 过 程 。m 王 D(c,kd) 也 可 以 用 m 王 Drka(c) 表 示 。 
密码 体制 要 求 : Dka(Eke(Cm))= 王 m, 即 加 密 和 解密 过 程 是 可 道 的 。 
在 计算 机 系统 中 ,明文 m、 密 文 c、 加 密 密 钥 ke 和 解密 密 钥 kd 都 是 二 进 制 数 ,因此 ， 
存在 以 下 集合 。 
。 明文 集合 M, 由 明文 m 的 二 进 制 数位 数 确定 ,如 果 明文 m 的 二 进 制 数位 数 为 nm， 
则 明文 集合 M 包含 2 亚 个 不 同 的 明文 。 

。 密 文集 合 C, 由 密 文 的 二 进 制 数位 数 确定 ,如 果 密 文 的 二 进 制 数位 数 为 nc, 则 
密 文集 合 C 包含 2 个 不 同 的 密 文 。 

。 加 密 密 钥 集合 KE, 由 加 密 密 钥 的 二 进 制 数 位 数 确定 ,如 果 加 密 密 钥 的 二 进 制 数位 
数 为 nke, 则 加 密 密 钥 集 合 KE 包含 2” 个 不 同 的 密 钥 。 

。 解密 密 钥 集合 KD, 由 解密 密 钥 的 二 进 制 数位 数 确 定 , 如 果 解 密 密 钥 的 二 进 制 数位 
数 为 nkd, 则 解密 密 钥 集合 KD 包含 2 中 个 不 同 的 密 钥 。 

由 于 计算 机 强大 的 运算 功能 可 以 实时 完成 复杂 的 运算 过 程 ,因此 ,可 以 设计 复杂 的 加 
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现代 密码 体制 的 柯 克 霍 夫 原 则 (Kerckhoffs” Principle) : 所 有 加 密 解 密 算法 都 是 公开 
的 ,保密 的 只 是 密 钥 。 


212 加 密 传输 过 程 


加 密 传输 过 程 如 图 2. 2 所 示 ,发送 端 将 明文 m 和 加 密 密 钥 ke 作为 加 密 函 数 E 的 输 
入 ,加 密 函数 EE 的 运算 结果 是 密 文 c。 密 文 沿 着 发 送 端 至 接收 端的 传输 路 径 到 达 接 收 
端 。 接 收 端 将 密 文 c 和 解密 密 钥 kd 作为 解密 函数 D 的 输入 ,解密 函数 D 的 运算 结果 是 




















明文 m。 
密 文 c 
明文 m 一 = E -~ D 一 明文 m 
ke kd 
图 2.2 加 密 传输 过 程 
213 密码 体制 分 类 
1. 对 称 密 钥 体 制 和 非 对 称 密 钥 体制 


如 果 加 密 密 钥 ke 等 于 解密 密 钥 kd, 则 将 这 种 密 钥 体 制 称 为 对 称 密 钥 体 制 。 对 称 密 
钥 体 制 由 于 只 有 一 个 密 钥 ,因此 ,也 称 为 单 密 钥 密 码 体制 。 如 果 加 密 密 钥 ke 不 等 于 解密 
密 钥 kd, 且 无 法 由 一 个 密 钥 直接 导出 另 一 个 密 钥 , 则 将 这 种 密 钥 体制 称 为 非 对 称 密 钥 体 
制 。 非 对 称 密 钥 体制 也 称 为 双 密 钥 密码 体制 。 

2. 两 种 密 钥 体制 的 特点 

对 称 密 钥 体 制 的 特点 是 密 钥 分 发 和 保护 困难 。 对 称 密 钥 体制 要 求 发 送 端 和 接收 端 在 
进行 加 密 传 输 过 程 前 拥有 相同 的 密 钥 ,使 得 发 送 端 和 接收 端 拥 有 相同 密 钥 的 过 程 称 为 密 
钥 分 发 。 通 过 网 络 安全 分 发 对 称 密 钥 是 一 件 困难 的 事情 。 由 于 对 称 密 钥 体制 的 加 密 和 解 
密 过 程 使 用 相同 的 密 钥 ,第 三 方 一 旦 获取 密 钥 就 可 获取 明文 。 因 此 ,发 送 端 和 接收 端 必须 
保护 好 密 钥 ,使 第 三 方 无 法 获取 密 钥 。 

非 对 称 密 钥 体制 的 特点 是 密 钥 分 发 容易 。 由 于 加 密 密 钥 不 等 于 解密 密 钥 , 且 无 法 由 
一 个 密 钥 直接 导出 另 一 个 密 钥 ,因此 接收 端 可 以 公开 加 密 密 钥 ,只 需 保密 解密 密 钥 。 所 有 
需要 向 接收 端 传输 密 文 的 发 送 端 均 可 用 接收 端 公告 的 加 密 密 钥 完成 加 密 过 程 ,但 只 有 接 
收 端 能 够 通过 解密 密 钥 将 密 文 转换 成 明文 。 


214 对 称 密 钥 体制 


对 称 密 钥 体制 由 5 个 元 素 组 成 : 明文 P、 密 文 Y、 加 密 算法 EE、 解 密 算 法 D 和 密 钥 K 
(加 密 密 钥 ke 一 解密 密 钥 kd 一 K)。 

一 旦 加 密 解密 算法 公开 ,在 黑客 能 够 获得 一 部 分 密 文 Y 及 对 应 的 明文 P 的 条 件 下 仍 
然 保 证 密 钥 安全 性 的 前 提 是 : 黑客 无 法 在 知道 加 密 解 密 算法 的 情况 下 ,通过 有 限 的 密 文 
立 及 对 应 的 明文 P 推导 出 密 钥 氏 , 或 者 每 一 个 密 钥 只 进行 一 次 加 密 运 算 ,而 且 每 一 个 密 


第 忆 章 “信息 安全 基础 \@2 


钥 都 是 从 一 个 足够 大 的 密 钥 集中 随机 产生 的 , 密 钥 之 间 没 有 任何 相关 性 。 第 一 种 情况 要 
求 足够 复杂 的 加 密 解 密 运算 过 程 ,而 且 这 种 运算 过 程 必须 经 过 广泛 测试 ,保证 黑客 无 法 破 
解 , 即 无 法 通过 有 限 的 密 文 和 明文 对 解析 出 密 钥 。 第 二 种 情况 要 求 一 次 一 个 密 钥 ,而 且 密 
钥 必 须 在 足够 大 的 密 钥 集中 随机 产生 ,确保 密 钥 之 间 没 有 相关 性 ,黑客 无 法 根据 已 知 的 有 
限 密 钥 序列 推导 出 下 一 次 用 于 加 密 运 算 的 密 钥 ,但 对 加 密 解 密 算法 的 复杂 性 没有 要 求 。 
分 组 密码 针对 第 一 种 情况 ,序列 密码 针对 第 二 种 情况 ,序列 密码 也 称 为 流 密码 。 

1. 分 组 密码 

(1) 分 组 密码 体制 的 本 质 含义 

分 组 密码 体制 的 加 密 算法 如 图 2. 3(a) 所 示 , 它 的 输入 是 位 明文 P 和 5。 位 密 钥 KK， 
输出 是 位 密 文 了 ,表示 成 Ek (P) 二 了 ,同一 密 钥 允许 进行 多 次 加 密 运算 。 由 于 黑客 可 能 
截获 或 嗅 探 到 这 些 用 同一 密 钥 加 密 后 的 密 文 ,甚至 可 能 获得 了 一 部 分 密 文 对 应 的 明文 ,加 
密 解 密 算法 必须 保证 黑客 无 法 通过 密 文 ,甚至 有 限 的 密 文 、 明 文 对 推导 出 密 钥 ,这 就 要 求 
分 组 密码 体制 下 的 加 密 解密 算法 足够 复杂 。 分 组 密码 体制 下 的 加 密 运 算 过 程 如 图 2. 3(b) 
所 示 , 首 先 将 明文 分 割 成 固定 长 度 的 数据 段 , 然 后 单独 对 每 一 段 数据 进行 加 密 运算 ,产生 
和 数据 段 长 度 相同 的 密 文 , 密 文 序列 和 明文 分 组 后 产生 的 数据 段 序 列 一 一 对 应 。 解 密 运 
算 过 程 就 是 将 密 文 还 原 为 对 应 数据 段 的 过 程 。 












































P(n 位 ) | | ' 
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(a) 加 密 算法 (b) 逐 段 加 密 过 程 


图 2.3 分 组 密码 的 加 密 过 程 


(2) 常见 的 分 组 密码 加 密 算法 

QD DES 

数据 加 密 标准 (Data Encryption Standard,.DES) 的 密 钥 长 度 和 数据 段 长 度 均 为 64 
位 ,加 密 运 算 前 ,将 数据 分 为 64 位 长 度 的 数据 段 , 然 后 对 每 一 段 数据 段 进 行 加 密 运 算 , 产 
生 64 位 长 度 的 密 文 。 

64 位 密 钥 中 ,8 位 二 进 制 数 作为 校 验 位 ,因此 ,真正 作为 密 钥 的 只 有 56 位 。 

© AES 

高 级 加 密 标 准 (Advanced Encryption Standard, AES) 的 密 钥 长 度 可 以 是 128 位 、192 
位 或 者 256 位 ,数据 段 长 度 固定 为 128 位 。 加 密 运算 前 ,将 数据 分 为 128 位 长 度 的 数据 
段 ,然后 对 每 一 段 数据 段 进 行 加 密 运 算 ,产生 128 位 长 度 的 密 文 。 

(3) 分 组 密码 加 密 算 法 的 安全 性 因素 

分 组 密码 加 密 运 算 过 程 的 安全 性 取决 于 以 下 几 个 因素 。 

。 数据 段 长 度 : 增加 数据 段 的 长 度 有 利于 提高 加 密 算法 的 安全 性 (不 容易 通过 明 

文 密 文 对 解析 出 密 钥 ) ,但 增加 了 运算 复杂 性 。 
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。 密 钥 长 度 : 增加 密 钥 的 长 度 有 利于 提高 加 密 算法 的 安全 性 ,但 增加 了 运算 复 

2. 序列 密码 

序列 密码 (也 称 为 流 密码 ) 体 制 的 每 一 次 加 密 运算 过 程 使 用 不 同 的 密 钥 , 即 一 次 一 密 。 
如 图 2.4 所 示 ,发 送 端 在 密 钥 集中 随机 产生 一 个 与 明文 P 长 度 相 同 的 密 钥 K, 密 钥 K 和 
明文 P 进行 异 或 运算 后 得 到 密 文 Y。 接 收 端 用 同样 的 密 钥 K 和 密 文 Y 进行 异 或 运算 ,还 
原 出 明文 P。 如 果 密 钥 集 足够 大 ,每 一 次 加 密 运 算 的 密 钥 不 同 , 且 这 些 密 钥 之 间 不 存在 相 
关 性 ,那么 这 种 密码 体制 是 最 安全 的 。 但 一 是 密 钥 集 总 是 有 限 的 ,二 是 计算 机 很 难 真正 在 
密 钥 集中 随机 产生 密 钥 , 密 钥 之 间 无 法 做 到 没有 任何 相关 性 ,三 是 发 送 端 和 接收 端 必须 同 
步 密 钥 , 因 此 ,序列 密码 体制 的 安全 性 也 存在 一 定 的 局 限 。 





发 送 端 Y-P@K, 接收 端 

P 一 -一 (十 十 -一 
上 下 

证 IK2K3 KAN 
密 钥 集 


图 2.4 序列 密码 体制 的 加 密 解密 过 程 


【 例 2. 1】 假定 数据 P=10110011 ,一 次 性 密 钥 K 王 11001010 ,给 出 序列 密码 体制 下 
的 加 密 解密 过 程 。 

【解析 】 加 密 过 程 如 下 : C= 二 PBK=10110011 儿 110010101==01110110, 其 中 ,外 是 
异 或 运算 符 。 

解密 过 程 如 下 : P=CBK=01110110 斩 110010101==10110011。 
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公开 密 钥 的 加 密 算 法 是 一 种 非 对 称 密 钥 加 密 算 法 ,使 用 不 同 的 加 密 密 钥 和 解密 密 钥 ， 
它 的 加 密 解 密 过 程 如 图 2. 5 所 示 ,发 送 者 用 加 密 算法 E 和 密 钥 PK 对 明文 P 进行 加 密 , 接 
收 者 用 解密 算法 D 和 密 钥 SK 对 密 文 Y 进行 解密 。 加 密 密 钥 PK 是 公开 的 ,而 解密 密 钥 
SK 是 保密 的 ,只 有 接收 者 知道 ,用 于 解密 公开 密 钥 加 密 的 密 文 ,习惯 上 将 加 密 密 钥 称 为 
公 钥 ,而 将 解密 密 钥 称 为 私 钥 。 
Y=Erx(P) 
Dsk (Y)=Dsx (Erxr (P))=P 


XY , 
明文 P -| 下 “=|D = 明文 P 


| 


PK SK 
图 2.5 公开 密 钥 加 密 算法 的 加 密 解密 过 程 





























公开 密 钥 加 密 算 法 的 原则 如 下 。 
@ 容易 成 对 生成 密 钥 PK 和 SK, 且 PK 和 SK 一 一 对 应 。 
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@ 加 密 和 解密 算法 是 公开 的 ,而 且 可 以 对 调 ,Dsx (Epxk (P)) 二 Epxk (Dsxk (P)) 二 P。 

@ 加 密 和 解密 过 程 容易 实现 。 

@ 从 计算 可 行 性 上 讲 , 无 法 根据 PK 推导 出 SK。 

@ 从 计算 可 行 性 上 讲 , 如 果 Y 王 Erk(P) , 则 无 法 根据 PK 和 密 文 Y 推导 出 明文 P。 

RSA(Rivest Shamir Adleman) 算 法 是 目前 最 常用 的 公开 密 钥 加 密 算法 ,RSA 私 钥 的 
安全 性 取决 于 密 钥 长 度 , 当 m1024 时 ,根据 目前 的 计算 能 力 ,RSA 私 钥 的 安全 性 是 可 
以 保证 的 。 但 nn 越 大 ,加 密 和 解密 运算 的 计算 复杂 度 越 高 。 


216 对 称 密 钥 体制 和 非 对 称 密 钥 体制 的 适用 环境 


1. 优 缺 点 

对 称 密 钥 加 密 算 法 的 优势 是 加 密 解 密 运算 过 程 相 对 简单 ,计算 量 相对 较 少 ;劣势 是 密 
钥 分 发 比较 困难 。 公 开 密 钥 加 密 算 法 的 劣势 是 加 密 解 密 运 算 过 程 比较 复杂 ,计算 量 相对 
较 大 ,因此 ,不 适合 大 量 数据 加 密 的 应 用 环境 ;优势 是 密 钥 分 发 简单 ,可 以 通过 有 公信 力 的 
传播 媒介 公告 公 钥 。 

2. 完美 结合 实例 

图 2.6 所 示 为 两 种 密 钥 体制 完美 结合 的 应 用 实例 ,假定 发 送 端 拥 有 接收 端的 公 钥 
PKA, 当 发 送 端 需要 加 密 发 送 给 接收 端的 数据 时 ,发 送 端 随机 产生 密 钥 K, 用 密 钥 K 和 对 
称 密 钥 加 密 算 法 (如 DES) ,加 密 发 送 给 接收 端的 数据 ,产生 数据 密 文 Y1(Y1 王 DESEx( 数 
据 )) ,同时 ,用 接收 端的 公 钥 PKA 和 RSA 加 密 算法 加 密 对 称 密 钥 K, 产 生 密 钥 密 文 Y2 
(Y2 二 RSAEpka(K)), 将 数据 密 文 Y1 和 密 钥 密 文 Y2 串 接 在 一 起 发 送 给 接收 端 。 接 收 端 
用 公 钥 PKA 对 应 的 私 钥 SKA 和 RSA 解密 算法 解密 出 密 钥 K(RSADsks (RSAEpkA(K)) 一 
K) ,然后 用 密 钥 K 和 对 称 密 钥 解密 算法 解密 出 数据 (DESDk (DESEx (数据 ) 王 数据 )。 这 
里 DESE 表示 DES 加 密 算法 , DESD 表示 DES 解密 算法 ,RSAE 表示 RSA 加 密 算法 ， 
RSAD 表示 RSA 解密 算法 。 

图 2.6 所 示 的 应 用 实例 充分 利用 了 对 称 密 钥 加 密 算 法 的 加 密 解 密 过 程 计算 量 小 和 公 
开 密 钥 加 密 算 法 分 发 密 钥 简单 的 优势 ,用 对 称 密 钥 加 密 算法 完成 对 数据 的 加 密 解 密 运算 ， 
用 公开 密 钥 加 密 算 法 完成 对 对 称 密 钥 的 加 密 过 程 ,简化 了 对 称 密 钥 的 同步 和 分 发 问题 。 
用 公开 密 钥 加 密 算法 和 公 钥 加 密 对 称 密 钥 产生 的 密 钥 密 文 称 为 数字 信封 。 

























































































数据 =| DESE | | -|pgspH -| 数据 
x RSAE | = | 密 钥 密 钥 | -|RSAD 和 
密 文 密 文 T 
PKA SKA 
(a) 发 送 端 操 作 (b) 接收 端 操作 


图 2.6 两 种 密 钥 体制 完美 结合 的 应 用 实例 
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2.2 报 文摘 要 算法 


报 文摘 要 算法 的 目的 就 是 产生 用 来 标识 某 个 任意 长 度 报 文 的 有 限 位 数 信息 , 即 报 文 
摘要 ,而且 这 种 标识 信息 就 像 报 文 的 指纹 一 样 ,具有 确认 性 和 唯一 性 。 


221 报 文摘 要 算法 要 求 


假定 MD 为 报 文摘 要 算法 ,MD(X) 是 MD 对 报 文 X 作 用 后 产生 的 标识 信息 ,MD 必 
须 满 足 如 下 要 求 。 

。 能 够 作用 于 任意 长 度 的 报 文 。 

。 产生 有 限 位 数 的 标识 信息 。 

。 易于 实现 。 

。 具有 单 向 性 , 即 只 能 根据 报 文 X 求 出 MD(X) ,从 计算 可 行 性 上 讲 ,无 法 根据 标识 
信息 h 得 出 报 文 X, 且 使 得 MD(X)=h，。 
具有 抗 碰撞 性 , 即 从 计算 可 行 性 上 讲 , 对 于 任何 报 文 X, 无 法 找 出 另 一 个 报 文 Y， 
即 X 夫 Y, 但 MDCX)=MD(CY) 。 
即使 只 改变 报 文 X 中 一 位 二 进 制 位 ,也 使 得 重新 计算 后 的 MDCX) 变 化 很 大 。 


222 报 文摘 要 算法 的 主要 用 途 


1. 消息 完整 性 检测 

为 了 检测 出 消息 P 在 传输 过 程 中 所 有 可 能 发 生 的 算 改 ,发 送 端 对 根据 消息 P 计 算出 
的 报 文摘 要 进行 加 密 , 并 将 加 密 后 的 报 文摘 要 附 在 消息 P 后 一 起 发 送 给 接收 端 。 接 收 端 
接收 到 消息 P 和 附 在 消息 P 后 面 的 加 密 后 的 报 文摘 要 后 , 先 对 加 密 的 报 文摘 要 解密 ,还 
原 出 发 送 端 计算 出 的 报 文摘 要 ,然后 对 消息 P 进行 报 文摘 要 运算 ,并 将 计算 结果 和 解密 
后 的 报 文摘 要 进行 比较 ,如 果 相 等 , 则 表示 消息 P 在 传输 过 程 中 未 被 复 改 ,如 果 不 相 等 ， 
则 表示 消息 了 已 经 被 算 改 ,整个 过 程 如 图 2.7 所 示 。 













































































明文 P 明文 P 明文 P| | 。 相等 ， 消 息 传输 
过 程 中 未 被 算 改 
,| .| PR 本 | 。 不 相等 ， 消 息 传输 
MD -sxv 密 文 Y T 过 程 中 被 得 改 
K K 
(a) 发 送 端 操作 过 程 (b) 接收 端 操作 过 程 





2.7 用 报 文摘 要 算法 检测 消息 完整 性 的 过 程 


用 报 文摘 要 算法 作为 消息 完整 性 检测 机 制 ,必须 使 发 送 端 和 接收 端 拥有 共同 密 钥 K， 
且 所 有 可 能 的 自 改 者 无 法 获得 密 钥 KK, 同 时 报 文摘 要 算法 保证 : 
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。 只 要 消息 P 发 生 任何 改变 ,重新 计算 后 的 报 文摘 要 就 会 不 同 。 

。 报 文摘 要 的 长 度 应 该 固定 , 且 小 于 消息 P 的 长 度 。 

但 这 两 点 是 相悖 的 ,只 要 报 文摘 要 的 长 度 小 于 消息 P 的 长 度 ,就 无 法 保证 消息 P 和 
报 文摘 要 之 间 的 一 一 对 应 关系 ,这 种 情况 下 ,可 以 将 报 文摘 要 的 要 求 改 为 以 下 : 

对 于 消息 P, 根 据 现 有 计算 能 力 , 复 改 者 无 法 得 出 消息 P', 且 PP', 但 MD(P) 二 MD(P')。 

以 此 保证 : 算 改 者 无 法 做 到 既 算 改 消息 P, 又 不 让 接收 端 检测 出 消息 P 了 已 经 被 算 改 。 

2. 验证 秘密 信息 

秘密 信息 S 通常 是 某 个 用 户 的 唯一 标识 信息 (如 口令 ) ,用 户 也 鉴别 用 户 A 身份 的 过 
程 往往 就 是 判别 用 户 A 是 否 拥有 秘密 信息 S 的 过 程 。 这 种 情况 下 ,用 户 B 已 经 建立 秘密 
信息 S 和 用 户 A 之 间 的 绑 定 关系 ,要 求 用 户 A 提供 拥有 秘密 信息 S 的 证 据 。 用 户 B 验证 
用 户 A 拥有 秘密 信息 S 的 过 程 如 图 2. 8 所 示 ,用 户 B 生成 一 个 随机 数 R, 将 随机 数 R 发 
送 给 用 户 A, 同 时 ,对 随机 数 R 和 秘密 信息 S 串 接 后 的 结果 计算 报 文摘 要 MDCR | S) 。 
用 户 A 接收 到 用 户 B 发 送 的 随机 数 R 后 ,也 将 随机 数 R 和 自己 拥有 的 秘密 信息 串 接 在 
一 起 ,并 对 串 接 结果 计 算 报 文摘 要 ,并 将 报 文摘 要 发 送 给 用 户 B。 如 果 用 户 A 发 送 的 报 
文摘 要 和 用 户 B 计算 的 报 文摘 要 相等 , 则 表示 用 户 A 拥有 秘密 信息 S。 由 于 其 他 用 户 可 
以 嗅 探 ,甚至 截获 随机 数 R 和 MD(R | S) ,所 以 为 了 保证 其 他 用 户 无 法 通过 随机 数 R 和 
MD(R | S) 得 出 秘密 信息 S, 要 求 报 文摘 要 算法 具有 单 向 性 , 即 可 以 根据 消息 P 计算 出 报 
文摘 要 MD(P) ,根据 现 有 的 计算 能 力 ,无 法 根据 报 文摘 要 MD(P) 推 导出 消息 P。 


用 户 A 随机 数 R 用 户 B 


S 
CE MD(RIIS) = 


图 2.8 验证 秘密 信息 的 过 程 








3. 存储 密码 

Windows 创建 用 户 时 ,需要 分 配 用 户 名 和 密码 ,并 将 用 户 名 和 密码 记录 在 计算 机 系 
统 中 ,但 计算 机 系统 在 存储 合法 用 户 的 密码 时 ,存储 的 是 密码 的 报 文摘 要 , 即 对 于 密码 K， 
存储 的 是 MDCK)。 这 样 做 的 目的 是 防止 密码 泄露 ,由 于 无 法 通过 MD(K) 导 出 K, 因 此 ， 
任何 人 都 无 法 从 计算 机 系统 中 获取 合法 用 户 的 密码 。 

用 户 登录 时 需要 输入 用 户 名 和 密码 , 当 用 户 输入 密码 K' 后 ,计算 机 系统 首先 计算 出 
密码 K' 的 报 文摘 要 MD(K') ,然后 用 MD(K') 比 较 与 该 用 户 名 关联 的 密码 的 报 文摘 要 
MD(K)。 当 MD(K ”二 MD(K) 时 ,表明 K'=K。 

银行 创建 账户 后 ,需要 分 配 账号 和 密码 ,同样 ,银行 存储 的 也 是 密码 的 报 文摘 要 。 当 
用 户 忘记 密码 时 ,银行 只 能 让 用 户 重 新 设置 密码 ,无 法 告诉 用 户 原 密码 ,原因 就 是 银行 本 
身 也 无 法 还 原 用 户 设置 的 密码 。 


223 几 种 常用 的 报 文摘 要 算法 


1. MDS 
报 文摘 要 第 5 版 (Message Digest Version 5, MD5) 是 较 早 推出 的 报 文摘 要 算法 , 它 


ue 


人 
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将 任意 长 度 的 报 文 转变 为 128 位 的 报 文摘 要 , 即 假定 P 为 任意 长 度 的 报 文 ,h 一 MD5(P)， 
则 h 的 长 度 为 128 位 。 

2. SHA-1 

安全 散 列 算法 第 1 版 (Secure Hash Algorithm 1,SHA-1) 和 MD5 相似 ,其 将 任意 长 
度 的 报 文 转变 为 160 位 的 报 文摘 要 , 即 假定 P 为 任意 长 度 的 报 文 ,h= SHA-1(P), 则 h 的 
长 度 为 160 位 。 

3. HMAC 

散 列 消息 鉴别 码 (Hashed Message Authentication Codes,HMAC) 也 称 为 哈 希 消息 
认证 码 ,是 一 种 将 密 钥 和 报 文 一 起 作为 数据 段 的 报 文摘 要 算法 , 即 假定 P 为 任意 长 度 的 
报 文 ,K 为 密 钥 , 则 bh 二 MD(P | K)。 报 文摘 要 算法 MD 没有 限制 ,可 以 是 MD5 或 SHA-1。 
如 果 采 用 MD5 报 文摘 要 算法 , 则 表示 为 HMAC-MD5-128。 如 果 采 用 SHA-1 报 文摘 要 
算法 , 则 表示 为 HMAC-SHA-1-160, 后 面 的 128 和 160 为 基于 密 钥 生成 的 报 文摘 要 
长 度 。 

4. 报 文摘 要 算法 的 安全 性 因素 

报 文摘 要 的 位 数 越 大 ,计算 复杂 性 越 高 ,但 单 向 性 和 抗 碰撞 性 越 好 。 对 于 密 钥 K 、 报 
文 P 和 报 文摘 要 算法 MD, 可 以 用 HMAC-MDx (P) 表 示 报 文 P 基于 密 钥 K 和 报 文摘 要 
算法 MD 生成 的 报 文摘 要 。 


2.3 数字 签名 和 证 书 


在 现实 世界 中 ,人 们 通过 印章 或 亲笔 签名 来 证 明 真实 性 ,如 通过 对 文件 进行 签名 表明 
签名 者 对 该 文件 的 确认 ,核准 等 。 计 算 机 网 络 中 ,数字 签名 (Digital Signature,DS) 是 某 个 
报 文 的 附加 信息 ,该 附加 信息 一 是 能 够 证 明 签名 者 的 真实 性 ,二 是 能 够 证 明 签 名 者 对 该 报 
文 的 确认 。 


23.1 数字 签名 特征 


数字 签名 用 于 解决 网 络 中 传输 的 信息 的 真实 性 问题 , 它 具 有 如 下 特征 ， 

。 接收 者 能 够 核实 发 送 者 对 报 文 的 数字 签名 ; 

。 发 送 者 事后 无 法 否认 对 报 文 的 数字 签名 ， 

。 接收 者 无 法 伪造 发 送 者 对 报 文 的 数字 签名 。 

总 之 ,数字 签名 必须 保证 唯一 性 、 关 联 性 和 可 证 明 性 ,唯一 性 保证 只 有 特定 发 送 者 能 
够 生成 数字 签名 ,关联 性 保证 是 对 特定 报 文 的 数字 签名 ,可 证 明 性 表明 该 数字 签名 的 唯一 
性 和 与 特定 报 文 的 关联 性 可 以 得 到 证 明 。 


232 基于 RSA 数字 签 名 原理 


RSA 公开 密 钥 加 密 算法 必须 满足 以 下 要 求 : 四 存在 公 钥 和 私 钥 对 PK 和 SK,PK 与 
SK 一 一 对 应 ; @SK 是 秘密 的 ,只 有 拥有 者 知道 ,PK 是 公开 的 ; @ 无 法 通过 PK 推导 出 
SK; @Epr (Ds (P)) 二 P。 因 此 ,Ds (MD(P)) 可 以 作为 SK 拥有 者 对 报 文 P 的 数字 签名 ， 
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图 2.9 所 示 是 基于 RSA 的 数字 签名 的 实现 过 程 。 
















































































相等 ，Dsk(MD(P) 
明文 P “| xP | PsDe) | xP| [TD 是 SK 拥 有 者 的 数字 签名 
数字 数字 | > 
-| MD -DD -| -| E i 
签名 签名 不 相等 ，Dsx(MD(P)) 
不 是 SK 拥有 者 的 数字 签名 


图 2.9 数字 签名 的 实现 过 程 


Dsr (MD(P)) 能 够 作为 SK 拥有 者 对 报 文 P 的 数字 签名 的 依据 如 下 : 一 是 私 钥 SK 
只 有 SK 拥有 者 知道 ,因此 ,只 有 SK 拥有 者 才能 实现 Ds (MD(P)) 的 运算 过 程 ,保证 了 数 
字 签 名 的 唯一 性 ;二 是 根据 报 文摘 要 算法 的 特性 , 即 从 计算 可 行 性 上 讲 , 其 他 用 户 无 法 生 
成 某 个 报 文 P', 且 PP', 但 MD(P)=MD(P') ,因此 ,MD(P) 只 能 是 报 文 P 的 报 文摘 要 ， 
保证 了 数字 签名 和 报 文 P 之 间 的 关联 性 ;三 是 数字 签名 能 够 被 核实 ,因为 公 钥 PK 和 私 钥 
SK 一 一 对 应 ,如 果 公 钥 PK 和 SK 拥有 者 之 间 的 绑 定 关系 得 到 权威 机 构 证 明 , 一 旦 证 明 
用 公 钥 PK 对 数字 签名 进行 加 密 运 算 后 还 原 的 结果 (Er (数字 签名 )) 等 于 报 文 P 的 报 文 
摘要 (MD(CP)) ,就 可 以 证 明 数 字 签 名 是 Dsk (MD(P) ) 。 
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基于 RSA 公开 密 钥 算法 的 数字 签名 技术 的 实现 原理 是 私 钥 的 秘密 性 , 私 钥 和 公 钥 之 
间 的 关联 性 ,以 及 公 钥 的 公开 性 。 只 要 证 明 某 个 公 钥 和 用 户 之 间 的 绑 定 关系 ,就 可 以 证 明 
和 该 公 钥 关 联 的 私 钥 的 拥有 者 就 是 该 用 户 。 因 此 ,实现 基于 公开 密 钥 算法 的 数字 签名 技 
术 的 第 一 步 就 是 证 明 公 钥 和 用 户 之 间 的 绑 定 关系 。 用 户 不 能 简单 地 通过 公告 自己 的 公 
宣示 自己 和 公 钥 之 间 的 绑 定 关 系 ,因为 这 样 做 既 没有 公信 力 ,也 很 容易 让 某 个 攻击 者 伪造 
和 他 人 的 公 钥 之 间 的 绑 定 关系 。 假 定 用 户 B 通 过 网 页 公告 自己 的 公 钥 PKB, 用 户 A 就 有 
可 能 通过 入 侵 用 户 B 的 网 页 算 改 用 户 B 在 网 页 中 给 出 的 公 钥 PKB ,将 自己 的 公 钥 PKA 
作为 用 户 B 的 公 钥 予以 公告 。 

如 何 让 人 们 确信 某 个 用 户 通过 网 页 或 媒体 公告 的 公 钥 不 是 其 他 人 伪造 的 ? 公开 密 钥 
算法 为 解决 这 种 公 钥 认证 问题 ,设计 了 认证 中 心 (Certification Authority, CA)。 认 证 中 
心 是 一 个 具有 公信 力 的 权威 机 构 , 当 用 户 B 希 望 通过 认证 中 心 认证 他 所 发 布 的 公 钥 PKB 
不 是 伪造 的 时 ,用 户 B 需 要 携带 希望 认证 的 公 钥 PKB 和 证 明 自 己 身份 的 证 件 到 认证 中 
心 ,认证 中 心 确认 用 户 B 的 真实 身份 后 提供 一 份 证 书 ,证 书 分 为 两 部 分 : 一 部 分 是 用 明文 
方式 给 出 的 用 于 确认 公 钥 PKB 和 用 户 B 之 间 绑 定 关系 的 证 明 ; 另 一 部 分 是 用 认证 中 心 的 
私 钥 SKCA 对 上 述 明文 的 报 文摘 要 进行 解密 运算 后 生成 的 密 文 (Dskca (MD(P))。 

证 书 含有 的 主要 内 容 如 图 2. 10 所 示 。 

版 本 : 证 书 格式 的 版 本 号 ,目前 最 新 版 本 是 版 本 3 。 

证 书 序号 : 认证 中 心 用 于 唯一 标识 该 证 书 的 序号 。 


信息 安全 实用 教程 


签名 算法 标识 符 : 用 于 标识 证 书签 名 算法 及 算法 相关 的 一 Jj 一 














版 本 
参数 。 证 书 序号 
签发 者 名 称 ,签发 该 证 书 的 认证 中 心 名 称 。 生计 标识 和 
起 始 时 间 ; 证 书 有 效 期 的 起 始 时 间 。 3 
终止 时 间 ; 证 书 有 效 期 的 终止 时 间 。 8 时间 
用 户 名 称 : 证 明和 证 书 中 给 出 的 公 钥 有 绑 定 关系 的 用 户 | | 余 E 时 间 
名 称 。 用 户 名 称 
用 户 公 铀 信息 和 证 书 指定 用 户 有 绑 定 关系 的 公 钥 及 公 钥 ee 
所 相关 的 算法 和 参数 。 用 户 唯一 标识 符 
和 发 者 只 一 标识 符 在 签发 者 名 称 可 能 重 名 的 情况 下 ,用 。 | | RE 
于 唯一 标识 签发 该 证 书 的 认证 中 心 。 Dsxca(MD(P)) 
用 户 唯一 标识 符 , 在 用 户 名 称 可 能 重 各 的 情况 下 ,用 于 唯 。 向 2 16 证书 术 式 


一 标识 和 证 书 中 给 出 的 公 钥 有 绑 定 关系 的 用 户 。 

扩展 信息 : 用 于 给 出 其 他 一 些 相关 信息 。 

认证 中 心 签名 : 用 认证 中 心 的 私 钥 对 证 书 内 容 的 报 文摘 要 进行 解密 运算 的 结果 
DskcA(MD(P)),P 是 证 书 内 容 。 

认证 中 心 是 用 户 向 外 发 布 证 书 的 主要 渠道 ,当然 ,用 户 也 可 以 通过 其 他 渠道 (如 网 页 
或 媒体 ) 发 布 证 书 。 这 种 证 书 是 无 法 伪造 的 ,假定 用 户 A 进入 用 户 B 的 主页 , 想 用 自己 的 
公 钥 PKA 取代 证 书 上 的 公 钥 PKB, 用 户 A 只 能 算 改 明文 ,无 法 修改 密 文 。 当 用 户 C 访 
问 已 被 用 户 A 算 改 的 证 书 时 ,用 户 C 将 用 认证 中 心 的 公 钥 PKCA 对 证 书 的 密 文 进行 加 
密 运 算 (EekcA(DskcA(MD(P)))= MD(P)) ,如 果 发 现 用 认证 中 心 的 公 钥 PKCA 对 证 书 的 
密 文 进行 加 密 运 算 后 得 到 的 明文 的 报 文摘 要 和 通过 对 证 书 中 给 出 的 明文 进行 的 报 文摘 要 
运算 后 得 到 的 结果 不 一 致 , 则 认为 该 证 书 已 被 算 改 。 
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认证 中 心 的 公 钥 PKCA 可 以 通过 多 种 有 公信 力 的 渠道 公告 给 广大 用 户 , 因 此 ,认证 
中 心 的 公 钥 PKCA 是 无 法 伪造 的 。 当 然 ,全 国 乃至 全 球 不 可 能 只 有 一 个 认证 中 心 , 应 该 
有 多 个 负责 一 个 地 区 或 一 个 城市 的 认证 中 心 。 但 某 个 城市 的 用 户 如 何 确认 另 一 个 城市 的 
认证 中 心 提供 的 证 书 ? 在 上 面 的 讨论 中 ,通过 众所周知 的 认证 中 心 的 公 钥 PKCA 验证 证 
书 的 真 伪 , 那 么 ,所 有 认证 中 心 能 否 使 用 相同 的 公 钥 PKCA 和 私 钥 SKCA 对 ? 结论 当然 
是 否定 的 ,这 将 给 安全 带 来 很 大 的 隐患 。 但 不 同 认证 中 心 使 用 不 同 的 公 钥 和 私 钥 对 带 来 
的 问题 是 如 何 保 证 用 户 获得 的 某 个 认证 中 心 的 公 钥 不 是 伪造 的 。 另 外 ,如 果 某 个 用 户 因 
为 担心 私 钥 泄密 而 要 求 撤销 证 书 时 ,如何 撤 销 证 书 并 向 其 他 用 户 发 布 该 证 书 已 经 撤销 的 
消息 ?因此 ,需要 有 一 整套 的 机 制 管理 ,控制 证 书 的 全 过 程 ,包括 证 书 的 生成 更新、 撤销 
和 交叉 认证 等 。 

1. PKI 模型 

公 钥 基础 设施 (Public Key Infrastructure,PKI) 提供 了 管理 、 控 制 证 书 全 过 程 的 方 
案 , 包 括 证 书 的 生成 .更 新 .撤销 和 交叉 认证 机 制 。PKI 模型 如 图 2. 11 所 示 。 
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维 端 实体 检索 
注册 
认证 
撤销 
密 钥 对 管理 
CA | 交叉 证 书 | 二 发 布 
| 
RA CRL/ 证 书库 
图 2.11 PKI 模型 


终端 实体 指 申请 了 证 书 的 用 户 、 网 络 设 备 ( 如 路 由 器 ) 、 进 程 等 ,也 指 依赖 证 书 完成 对 
交易 过 程 中 的 另 一 方 验证 的 实体 。 

认证 中 心 (CA) 承 担 用 户 注 册 以 及 证 书生 成 发布, 更 新 .撤销 等 证 书 管理 功能 与 密 钥 
对 的 生成 和 发 放 , 同 时 通过 认证 路 径 完 成 对 证 书 的 认证 ,认证 路 径 是 终端 实体 X 证 明 终 
端 实体 Y 与 其 公 钥 之 间 绑 定 关系 的 过 程 中 涉及 的 认证 中 心 序列 ,表示 如 下 : 

[CA ,CA: ,，…,CAw] 
其 中 CA, 是 终端 实体 X 信任 的 认证 中 心 , 也 称 终端 实体 X 的 信任 锚 。CA, 是 终端 实体 
X 信任 的 认证 中 心 ,是 指 CA, 与 其 公 钥 之 间 的 绑 定 关 系 已 经 被 终端 实体 X 确认 。CAx 
是 颁发 用 于 证 明 终端 实体 Y 与 其 公 钥 之 间 绑 定 关系 的 证 书 的 认证 中 心 。CA;-1 是 对 CA， 
颁发 证 书 的 认证 中 心 ,颁发 给 某 个 CA 的 证 书 用 于 证 明 该 CA 与 其 公 钥 之 间 的 绑 定 关系 。 
通常 由 其 他 CA 颁发 某 个 CA 的 证 书 , 有 时 ,两 个 CA 可 能 相互 为 对 方 颁发 证 书 ,这 种 证 
书 称 为 交叉 证 书 。 

注册 中 心 (RA) 是 一 个 管理 组 件 , 代 理 着 CA 的 用 户 注 册 功 能 ,当然 ,也 可 以 设置 单独 
的 RA。 

证 书库 规范 了 证 书 和 证 书 撤销 列表 (Certificate Revocation List,CRL) 的 存储 和 读 取 
方法 。 

2. PKI 服务 过 程 

(1) 注册 

注册 是 为 了 取得 使 用 PKI 服务 的 权限 ,注册 的 过 程 是 终端 实体 向 CA 或 RA 提供 身 
份 鉴别 信息 及 其 他 信息 的 过 程 。 注 册 过 程 中 需要 提供 的 信息 与 终端 实体 得 到 的 PKI 服 
务 和 证 书 的 用 途 有 关 , 如 申请 用 于 银行 电子 转账 的 证 书 和 申请 用 于 图 书馆 借 书 的 证 书 需 
要 提供 的 终端 实体 的 信息 是 不 同 的 ,终端 实体 可 以 通过 在 线 和 离线 方式 完成 注册 过 程 , 完 
成 注册 后 ,终端 实体 可 以 得 到 一 个 CA 或 RA 发 放 的 身份 鉴别 信息 ,如 共享 密 钥 ,终端 实 
体 通过 CA 或 RA 完成 注册 。 

(2) 密 钥 对 管理 

生成 证 书 前 ,必须 生成 密 钥 对 ( 公 钥 和 私 钥 对 )。 可 以 由 终端 实体 自行 生成 密 钥 对 ,如 
果 由 终端 实体 自行 生成 密 钥 对 ,为 了 证 明 终端 实体 拥有 的 私 钥 和 用 证 书证 明 的 与 该 终端 
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实体 绑 定 的 公 钥 之 间 的 关联 性 ,CA 在 生成 证 书 前 需要 验证 终端 实体 自行 生成 的 私 钥 和 
公 钥 之 间 的 关联 性 。 因 此 ,通常 情况 下 ,由 CA 生成 密 钥 对 ,并 以 适当 的 方式 向 终端 实体 
发 放 私 钥 。 

CA 的 密 钥 对 管理 还 包括 私 钥 恢 复 功能 ,如 果 终 端 实体 的 密 钥 对 由 CA 生成 , 当 终端 
实体 遗失 私 钥 , 且 又 需要 私 钥 恢 复 加 密 的 数据 时 ,可 以 由 CA 提供 私 钥 恢 复 功 能 。 另 外 ， 
执法 机 构 有 时 也 需要 CA 提供 用 于 解密 某 些 材料 的 私 钥 ,因此 ,CA 必须 提供 密 钥 对 生 
成 . 私 钥 存储 、 私 钥 销毁 等 管理 功能 。 

(3) 证 书生 成 

CA 按照 图 2. 10 所 示 的 证 书 格式 生成 证 书 , 并 以 CA 的 私 钥 对 证 书 进行 数字 签名 ,将 
生成 的 证 书 发 布 到 证 书库 , 供 其 他 终端 实体 访问 。 如 果 密 钥 对 是 由 终端 实体 自行 生成 的 ， 
则 终端 实体 需要 以 适当 的 方式 向 CA 提供 公 钥 。 

(4) 证 书 更 新 

证 书 更 新 包括 两 种 情况 : 一 是 证 书 的 有 效 期 到 期 后 ,通过 证 书 更 新 延长 证 书 的 有 效 
期 ;二 是 如 果 在 证 书 有 效 期 内 更 换 密 钥 对 ,需要 通过 证 书 更 新 修改 证 书 中 与 终端 实体 绑 定 
的 公 钥 。 当 然 ,第 一 种 情况 可 以 通过 生成 新 的 证 书 实现 ,第 二 种 情况 可 以 通过 撤销 旧 的 证 
书生 成 新 的 证 书 实现 。 

(5) 证 书 撤销 

证 书 有 效 期 内 可 能 发 生 必须 终止 证 书 使 用 的 情况 ,如 私 钥 泄露 .终端 实体 的 一 些 相关 
信息 发 生 改 变 等 ,这 些 情况 下 ,终端 实体 通过 向 CA 发 送 撤销 证 书 请 求 撤销 证 书 ,CA 必 
须 将 撤销 的 证 书 的 有 关 信 息 写 和 证书 撤销 列表 (CRL) ,CRL 必须 通过 CA 的 数字 签名 保 
证 其 权威 性 和 完整 性 ,并 保证 其 他 终端 实体 能 够 访问 CRL。 

3. 分 层 认证 结构 与 认证 路 径 

最 简单 的 办 法 是 用 一 个 CA 完成 证 书 和 密 钥 对 的 管理 ,但 单一 CA 显然 不 具有 对 大 
量 而 又 分 散 的 终端 实体 进行 证 书 管理 的 能 力 。 因 此 ,需要 将 多 个 面向 不 同 终端 实体 的 
CA 连接 在 一 起 ,构成 一 个 能 够 适应 复杂 应 用 的 PKI。 目 前 常见 的 PKI 结构 有 层次 结构 
和 网 状 结构 ,如 图 2. 12 所 示 , 层 次 结构 比较 简单 ,采用 单 向 认证 机 制 , 由 上 一 层 CA 颁发 
用 于 证 明 下 一 层 CA 与 其 公 钥 之 间 绑 定 关系 的 证 书 。 根 CA 的 公 钥 通过 有 公信 力 的 传播 








终端 实体 。 终端 实体 终端 实体 。 ”终端 实体 
(a) 层次 结构 (b) 网 状 结构 
图 2.12 PKI 结构 
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渠道 公布 ,并 给 自己 颁发 证 明 自 己 与 其 公 钥 之 间 绑 定 关系 的 证 书 。 层 次 结构 的 叶 结 点 是 
终端 实体 ,为 了 验证 某 个 终端 实体 的 证 书 ,需要 提供 根 CA 至 终端 实体 分 枝 经 过 的 所 有 
CA 的 证 书 。 层 次 结构 的 主要 问题 是 可 靠 性 ,一 旦 某 个 CA 出 现 问题 ,该 CA 连接 的 所 有 
分 枝 都 将 无 法 正常 工作 。 一 旦 根 CA 出 现 问题 ,整个 PKI 将 无 法 正常 工作 。 网 状 结构 的 
CA 之 间 的 认证 关系 不 再 是 树 形 结构 ,允许 存在 认证 环 路 ,由 于 存在 认证 环 路 ,构建 验证 
某 个 终端 实体 的 证 书 的 认证 路 径 过 程 比较 复杂 ,在 后 面 的 应 用 中 ,本 书 主要 基于 层次 结构 
讨论 PKI 的 工作 过 程 。 

层次 PKI 结构 中 与 根 认证 中 心 绑 定 的 公 钥 通 过 有 公信 力 的 多 种 渠道 予以 公告 。 终 端 
实体 的 证 书 需要 建立 根 认证 中 心 至 终端 实体 的 认证 路 径 ,对 于 如 图 2. 13 所 示 的 分 层 认 证 结 
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吕 加 加 | WE 全 
尽 Le 
终端 实体 3 终端 实体 2 终端 实体 1 


图 2.13 分 层 认 证 结构 


构 ,终端 实体 1 的 认证 路 径 为 ( 根 认证 中 心 , 地 区 认证 中 心 2, 认 证 中 心 4, 终 端 实体 1) 。 其 他 
终端 实体 ,如 终端 实体 3, 如 果 需 要 验证 证 明 终端 实体 1 与 其 公 钥 PK1 之 间 绑 定 关系 的 证 
书 , 则 需要 获得 终端 实体 1 的 认证 路 径 所 包含 的 所 有 认证 中 心 的 证 书 , 根 认 证 中 心 的 证 书 不 
是 用 来 证 明 根 认证 中 心 与 其 公 钥 PKG 的 绑 定 关系 的 ,而 是 用 来 存储 根 认证 中 心 的 公 钥 。 根 
认证 中 心 的 公 钥 通过 有 公信 力 的 多 种 渠道 予以 公告 ,无 须 用 证 书 予 以 证 明 。 由 于 证 明 地 区 
认证 中 心 2 与 公 钥 PKRA2 之 间 绑 定 关 系 的 证 书 用 根 认证 中 心 的 私 钥 进行 数字 签名 ,因此 ， 
可 以 用 根 认证 中 心 的 公 钥 PKG 验证 地 区 认证 中 心 2 的 证 书 , 以 此 类 推 ,可 用 地 区 认证 中 心 2 
的 公 钥 PKRA2 验证 认证 中 心 4 的 证 书 , 可 用 认证 中 心 4 的 公 钥 PKCA4 验证 终端 实体 1 的 
证 书 。 将 验证 某 个 终端 实体 证 书 所 涉及 的 所 有 证 书 按照 验证 顺序 排列 ,构成 证 书 链 ,对 应 如 
图 2. 13 所 示 的 分 层 认证 结构 ,验证 终端 实体 1 的 证 书 链 如 下 : 

根 认证 中 心 过 过 地 区 认证 中 心 2> 二 ,地 区 认证 中 心 2 二 过 认证 中 心 4 之 过 ,认证 中 
心 4 二 过 终端 实体 1 之 > 

Y 了 二 二 X 二 过 表示 由 认证 中 心 Y 签发 用 于 证 明 用 户 X 与 某 个 公 钥 之 间 绑 定 关系 的 
证 书 。 
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实际 操作 过 程 中 ,每 一 层 认证 中 心 提供 的 公 钥 都 可 通过 这 一 层 所 管辖 地 区 的 .有 公信 
力 的 传播 媒体 予以 公告 ,如 负责 江苏 地 区 的 认证 中 心 可 以 通过 江苏 省 电视 台 、 政 府 报纸 公 
告 其 公 钥 , 而 负责 南京 地 区 的 认证 中 心 可 以 通过 南京 市 电视 台 、 南 京 市 政府 报纸 予以 公 
告 。 但 当 某 个 苏州 地 区 的 用 户 A 希望 和 南京 地 区 的 用 户 B 通信 时 ,发 现 用 户 B 的 公 钥 有 
南京 地 区 认证 中 心 颁发 的 证 书 ,为 验证 用 户 B 的 证 书 , 需 要 获得 南京 市 认证 中 心 的 公 钥 。 
用 户 A 可 以 通过 检索 南京 地 区 认证 中 心 的 证 书库 ,获得 证 明 南 京 地 区 认证 中 心 与 其 公 钥 
之 间 绑 定 关系 的 证 书 , 该 证 书 由 上 一 层 认证 中 心 ( 江 苏 地 区 认证 中 心 ) 颁 发 。 由 于 用 户 A 
通过 有 公信 力 的 媒体 ,已 经 获得 江苏 地 区 认证 中 心 的 公 钥 ,因此 可 以 用 江苏 地 区 认证 中 心 
的 公 钥 验证 南京 地 区 认证 中 心 的 证 书 。 在 确认 了 南京 地 区 认证 中 心 的 公 钥 后 ,可 以 用 南 
京 地 区 认证 中 心 的 公 钥 验证 用 户 B 的 证 书 。 对 于 苏州 用 户 A, 在 验证 南京 用 户 B 的 证 书 
的 过 程 中 ,由 于 已 经 通过 具有 公信 力 的 渠道 获得 江苏 地 区 认证 中 心 的 公 钥 ,因此 ,江苏 地 
区 认证 中 心 是 用 户 A 的 信任 点 ,也 称 为 用 户 A 的 信任 锚 , 用 户 A 在 验证 用 户 B 的 证 书 的 
过 程 中 需要 建立 的 认证 路 径 不 是 从 根 认 证 中 心 至 用 户 B 分 枝 所 经 过 的 所 有 结 点 ,而 是 用 
户 A 信任 点 至 用 户 B 分 枝 经 过 的 所 有 结 点 。 因 此 ,对 于 用 户 A, 用 户 B 的 认证 路 径 是 ( 江 
苏 地 区 认证 中 心 ,南京 地 区 认证 中 心 ,用户 B) ,证 书 链 如 下 : 

江苏 地 区 认证 中 心 二 去 南京 地 区 认证 中 心 之 > ,南京 地 区 认证 中 心志 用 户 B 之 > 

同样 ,用 户 B 验证 用 户 A 的 证 书 需要 的 证 书 链 如 下 : 

江苏 地 区 认证 中 心 二 过 苏州 地 区 认证 中 心志 二 ,苏州 地 区 认证 中 心 三 三 用户 A> 二 

可 以 得 出 这 样 的 结论 : 终端 实体 1 向 终端 实体 2 提供 证 书 时 ,为 了 让 终端 实体 2 验 
证 终端 实体 1 的 证 书 ,终端 实体 1 需要 提供 证 书 链 , 证 书 链 由 终端 实体 2 的 信任 点 至 终端 
实体 1 的 认证 路 径 所 经 过 的 结 点 的 证 书 按照 认证 顺序 排列 而 成 。 根 结 点 是 所 有 终端 实体 
的 信任 点 ,验证 过 程 中 要 求证 书 链 中 的 所 有 证 书 都 是 有 效 证 书 , 有 效 证 书 是 指证 书 有 效 期 
没有 到 期 且 证 书 没有 出 现在 颁发 证 书 的 认证 中 心 的 撤销 证 书 列表 (CRL) 中 的 证 书 。 
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数字 签名 在 实现 过 程 中 必须 保证 私 钥 的 安全 性 ,同时 又 需要 通过 私 钥 计算 出 数字 签 
名 Dsk(MD(P))(CSK 是 私 钥 ,P 是 需要 签名 的 报 文 )。 如 果 为 了 便于 计算 数字 签名 ,将 私 
钥 存 储 在 计算 机 中 , 则 在 目前 木马 病毒 和 间谍 软件 十 分 猩 狂 的 情况 下 ,存在 被 黑客 窃取 的 
危险 。 如 果 不 将 私 钥 存储 在 计算 机 中 , 则 在 每 一 次 计算 数字 签名 的 过 程 中 ,需要 输入 超过 
1000 位 二 进 制 数 的 私 钥 。 

目前 ,银行 普遍 使 用 的 通用 串 行 总 线 (Universal Serial Bus, USB)key 是 一 种 比较 好 
的 保证 私 钥 安全 性 的 措施 。 用 户 在 银行 开设 账户 后 ,如 果 需 要 开通 网 上 业务 功能 , 则 银行 
为 用 户 生成 公 钥 和 私 钥 对 ,并 生成 用 于 证 明 账 户 所 有 者 与 公 钥 之 间 绑 定 关系 的 证 书 , 然 后 
将 证 书 和 私 钥 写 人 USB key, 私 钥 一 旦 写 和 人 ,不 能 从 USB key 中 读 出 。 

USB key 是 一 个 智能 卡 , 有 运算 功能 。 当 用 户 向 Mb) 
银行 发 送 业务 请 求 , 且 需 要 为 业务 请 求生 成 数字 签名 和 -pwMpm 
时 ,将 业务 请 求 的 报 文摘 要 传输 给 USB key, 由 USB ”WB3Key 
key 生成 ,并 输出 数字 签名 。USB key 生成 数字 签名 的 图 2.14 USB key 生成 数字 签名 过 程 
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过 程 如 图 2. 14 所 示 。 由 于 私 钥 是 不 可 见 的 ,因此 黑客 无 法 通过 木马 病毒 和 间谍 软件 窃取 
私 钥 , 私 钥 的 安全 性 得 到 保证 。 


236 Windows 证 书 

1. Windows 证 书 管理 

完成 “开始 ”运行 ?操作 过 程 ,弹出 如 图 2. 15 所 示 的 “运行 ?界面 ,在 “打开 ” 框 中 输 
入 certmgr. msc; 单 击 “ 确 定 ” 按 钮 ,弹出 如 图 2. 16 所 示 的 Windows 证 书 管理 器 界面 。 通 


过 Windows 证 书 管理 器 可 以 对 计算 机 系统 中 的 证 书 进行 管理 。 图 2. 17 所 示 为 某 个 选 定 
证 书 的 详细 内 容 。 


[= | 


= Windows 将 根据 候 所 妨 入 的 名 称 ， 为 您 打开 相应 的 程序 、 
文件 夫 、 文 栏 或 Internet 资源 





打开 (O): certmgr.msc 下 
图 使 用 管理 权限 创建 此 任务 





| 
































图 2.15 启动 证 书 管理 器 


NN | 
文件 (月 操 fF(A) ”查看 (V) 帮助 (H) 

如 中 | 六 国 | D1GBIB 避 
齐 证 书 - 当前 用 户 对 全 类 型 











》 加 受信 任 的 根 证 书信 发 机 构 此 视图 中 没有 可 显示 的 项 目 。 


b 国 Active Directory 用 户 对 象 
国 受信 任 的 发 布 者 

b 国 不 信任 的 证 书 

b> 国 第 三 方 根 证 书 自发 机 构 
国 受信 任 人 

” 国 其 他 人 

> 国 智能 卡 受信 任 的 根 

















ED 
个 人 存储 不 含 证 书 . 











2.16 证书 管理 器 界面 


2. Windows 证 书 作用 


Windows 证 书 的 作用 : 一 是 可 以 用 于 验证 客户 端 身份 ;二 是 可 以 对 客户 端 发 送 的 数 
据 进 行 数字 签名 ,如 对 客户 端 发 送 的 邮件 进行 数字 签名 。 
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二 | 
常规 = 详细 信息 | 证 书 路 径 
ge) 
字段 值 - 
国 版 本 国 目 
国 抒 局 2b 2e 6e ea d9 15 36 6e. 
国 签名 算法 sha384RSA 
国 签名 哈 希 算法 sha364 
国 宙 者 CONODO RSA Certificatio. 
国有 效 期 从 2014 年 2 月 12 日 星期 三 上 
国 到 2029 年 2 月 12 日 星期 上. 











COTO 
了 解囊 洋 组 信息 的 更 多 信息 





























图 2.17 查看 证 书 详细 信息 


2.4 身份 鉴别 


身份 鉴别 过 程 是 一 方向 另 一 方 证 明 自己 身份 的 过 程 , 为 了 向 另 一 方 证 明 自 己 的 身份 ， 
首先 需要 拥有 能 够 证 明 自己 身份 的 身份 标识 信息 ,同时 需要 向 另 一 方 证 明 自己 确实 拥有 
可 以 证 明 自 己 身 份 的 身份 标识 信息 。 


241 身份 鉴别 定义 和 分 类 


1. 定义 

身份 鉴别 是 验证 主体 的 真实 身份 与 其 所 声称 的 身份 是 否 符合 的 过 程 ,主体 可 以 是 用 
户 、 进 程 和 主机 等 。 现 实 世 界 中 ,人 们 可 以 通过 多 种 方式 证 明 自 己 的 身份 ,如 出 示 身 份 证 
等 有 效 证 件 ,提供 指纹 和 视网膜 等 个 人 特征 等 。 在 计算 机 网 络 中 ,可 能 需要 完成 两 个 进程 
或 者 两 个 主机 之 间 的 身份 鉴别 过 程 ,这 两 个 主机 或 进程 可 能 相距 甚 远 ,这 种 情况 下 ,两 个 
主体 之 间 无 法 相互 提供 证 明 其 身份 的 物理 原件 。 因 此 ,在 网 络 环境 下 ,主体 必须 具有 能 够 
证 明 其 身份 且 可 以 通过 网 络 传输 的 主体 身份 标识 信息 。 

2. 分 类 

身份 鉴别 方式 可 以 分 为 单 向 鉴别 、 双 向 鉴别 和 第 三 方 鉴 别 三 种 。 

(1) 单 向 鉴别 

单 向 鉴别 如 图 2.18(a) 所 示 , 存 在 主体 A 和 主体 B 两 个 主体 ,主体 A 需要 向 主体 B 
证 明 自 己 的 身份 ,但 主体 也 无须 向 主体 A 证 明 自 己 的 身份 。 这 种 情况 下 ,主体 A 称 为 示 
证 者 ,主体 B 称 为 验证 者 或 鉴别 者 。 
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身份 鉴别 身份 鉴别 

































































主体 A 产 主 体 B 主体 A 上 一 主体 B 
(a) 单 向 鉴别 (b) 双向 鉴别 
第 三 方 
身份 标 身份 标 
识 信息 识 信息 














主体 A | 身份 鉴别 。[ 主体 B 


(c) 第 三 方 鉴别 
图 2.18 身份 鉴别 方式 




















(2) 双向 鉴别 

双向 鉴别 如 图 2. 18(b) 所 示 ,主体 A 和 主体 B 都 需要 向 对 方 证 明 自 己 的 身份 。 

(3) 第 三 方 鉴别 

第 三 方 鉴别 如 图 2. 18(c) 所 示 ,存在 可 信 的 第 三 方 ,由 可 信 的 第 三 方 证 明 主 体 的 身份 
标识 信息 与 主体 之 间 的 绑 定 关系 ,主体 A 和 主体 B 利用 第 三 方 提供 的 证 明 完 成 向 对 方 证 
明 自 己 身 份 的 过 程 。 


242 主体 身份 标识 信息 


在 网 络 环境 下 ,主要 用 密 钥 、 用 户 名 和 口令 、 证 书 和 私 钥 身体 特征 信息 等 作为 主体 身 
份 标识 信息 。 

1. 密 钥 

主体 拥有 某 个 密 钥 x, 只 要 主体 能 够 证 明 自 己 知道 密 钥 x, 主 体 的 身份 就 得 到 证 明 。 

2. 用 户 名 和 口令 

这 种 身份 标识 信息 主要 用 于 标识 用 户 ,为 每 一 个 授权 用 户 分 配 用 户 名 和 口令 , 某 个 用 户 
只 要 能 够 证 明 自己 知道 某 个 授权 用 户 对 应 的 用 户 名 和 口令 ,就 能 证 明 该 用 户 是 授权 用 户 。 

3. 证 书 和 私 钥 

证 书 可 以 证 明 主 体 x 与 公 钥 PK 之 间 的 绑 定 关系 ,如 果 主 体 x 能 够 证 明 自 己 知道 与 
公 钥 PK 对 应 的 私 钥 SK, 就 能 证 明 自 己 是 主体 x。 

4. 身体 特征 信息 

每 一 个 人 具有 其 他 人 不 具备 的 身体 特征 信息 ,如 指纹 、 人 脸 等 。 可 以 事先 建立 某 个 人 
与 其 身体 特征 信息 之 间 的 关联 , 当 需 要 证 明 自 己 的 身份 时 ,通过 让 鉴别 者 采集 自己 的 身体 
特征 信息 证 明 自己 的 身份 。 


243 单 向 鉴别 过 程 


1. 基于 共享 密 钥 
基于 共享 密 钥 的 单 向 鉴别 过 程 如 图 2. 19 所 示 ,主体 B 为 了 能 够 鉴别 主体 A 的 身份 ， 
一 是 使 得 主体 A 和 主体 B 拥 有 相同 的 对 称 密 钥 K, 且 该 对 称 密 钥 K 只 有 主体 B 和 主体 A 
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知道 ;二 是 使 得 双方 使 用 相同 的 对 称 密 钥 加 密 解 密 算法 。 

这 种 情况 下 ,主体 A 通过 向 主体 BB 证 明 自 己 知 OR， 
道 对 称 密 钥 证 明 自 己 是 主体 A。 主 体 B 产生 一 EC ET 
个 随机 数 Ra ,并 将 随机 数 Rs 发 送 给 主体 A, 主 体 A 
用 对 称 密 钥 K 和 加 密 算法 EE 对 随机 数 Rs 进行 加 
密 , 生 成 密 文 Ek (Rs), 并 将 密 文 发 送 给 主体 B。 主 
体 B 用 对 称 密 钥 K 和 解密 算法 D 对 密 文 进行 解密 ， 
获得 明文 ,如 果 明 文 等 于 Ra, 即 Dk (Ex (Rs)) 二 Re, 则 表示 主体 A 知道 对 称 密 钥 K ,主体 
A 的 身份 得 到 证 明 。 

每 一 次 鉴别 主体 A 的 身份 时 ,主体 B 先 向 主体 A 发 送 随机 数 Rs ,这 样 做 的 目的 是 为 
了 防止 重 放 攻 击 。 由 于 主体 B 每 一 次 鉴别 主体 A 的 身份 时 都 产生 不 同 的 随机 数 ,导致 主 
体 A 每 一 次 回 送 的 密 文 是 不 同 的 ,使 得 第 三 方 无 法 通过 截获 上 一 次 主体 A 发 送 给 主体 B 
的 密 文 冒充 主体 A。 

主体 A 向 主体 B 发 送 密 文 的 目的 是 为 了 防止 截获 攻击 ,即使 第 三 方 截获 主体 B 发 送 
的 随机 数 Re 和 密 文 Ek (Rs) ,也 无 法 通过 随机 数 Re 和 密 文 Ex (Rs) 解 析出 对 称 密 钥 KK, 因 
而 无 法 冒充 主体 A。 

2. 基于 用 户 名 和 口令 

基于 用 户 名 和 口令 的 单 向 鉴别 过 程 如 图 2. 20 所 示 ,主体 B 为 了 能 够 鉴别 主体 A 的 
身份 ,需要 事先 建立 注册 用 户 库 ,注册 用 户 库 中 存储 所 有 注册 用 户 的 用 户 名 和 口令 ,主体 
A 证 明 自 己 身份 的 过 程 就 是 证 明 自己 是 用 户 名 标识 的 注册 用 户 的 过 程 。 主 体 A 为 了 证 
明 自 己 是 用 户 名 标识 的 注册 用 户 ,需要 向 主体 B 提供 用 户 名 和 口令 ,主体 A 提供 的 用 户 
名 和 口令 必须 是 注册 用 户 库 中 某 个 注册 用 户 对 应 的 用 户 名 和 口令 。 

注册 用 户 库 
ORs 用 户 名 口令 

[> | Ww 


回 用 户 A，MD5(RallPASSA) 

















@Ek(Rs) 
图 2.19 基于 共享 密 钥 单 向 鉴别 过 程 








图 2.20 基于 用 户 名 和 口令 的 单 向 鉴别 过 程 


主体 B 产生 一 个 随机 数 Rs ,并 将 随机 数 Rs 发 送 给 主体 A, 主 体 A 将 随机 数 Rs 和 自 
己 的 口令 PASSA 串 接 在 一 起 ,并 对 串 接 结 果 进 行 报 文摘 要 运算 ,然后 将 用 户 名 “用户 A” 
和 报 文摘 要 MD5(Ra | PASSA) 一 起 发 送 给 主体 B, 这 里 的 MD5 是 一 种 计算 报 文 摘要 的 
算法 。 主 体 B 根据 用 户 名 “用 户 A” 检 索 注册 用 户 库 , 找 到 用 户 名 为 用 户 A 的 注册 用 户 ， 
获取 其 口令 PASSA ,将 随机 数 Re 和 口令 PASSA 串 接 在 一 起 ,并 对 串 接 结果 进行 报 文摘 
要 运算 。 然 后 将 运算 结果 与 主体 A 发 送 的 报 文摘 要 进行 比较 ,如 果 相 等 , 则 表明 主体 A 
是 用 户 名 为 用 户 A 的 注册 用 户 ,主体 A 的 身份 得 到 证 明 。 

由 于 报 文摘 要 算法 的 单 向 性 ,因此 即使 第 三 方 截获 报 文摘 要 MD5(Rs | PASSA), 也 
无 法 推导 出 口令 PASSA。 主 体 B 先 向 主体 A 发 送 随机 数 Rs 的 目的 是 防止 重 放 攻 击 。 
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3. 基于 证 书 和 私 钥 


基于 证 书 和 私 钥 的 单 向 鉴别 过 程 如 图 2. 21 所 示 ,主体 B 拥有 用 于 证 明 公 钥 PKA 与 
主体 A 之 间 绑 定 关系 的 证 书 , 且 证 书 的 有 效 性 已 经 得 到 验证 。 主 体 A 证 明 自 己 身 份 的 过 
程 就 是 证 明 自 己 知道 公 钥 PKA 对 应 的 私 钥 SKA 的 过 程 。 





























证 书 
OF 主体 A 的 公 钥 是 
到 本 PKA 
@DskA(Ra) 





图 2.21 基于 证 书 和 私 钥 的 单 向 鉴别 过 程 


主体 B 产 生 一 个 随机 数 Ra ,并 将 随机 数 Ra 发 送 给 主体 A。 主 体 A 用 私 钥 SKA 和 解 
密 算法 D 对 随机 数 进行 解密 运算 ,得 到 运算 结果 DskA(Rs) ,并 将 运算 结果 Dsxa (Rs) 回 送 
给 主体 B。 主 体 B 用 公 钥 PKA 和 加 密 算 法 下 对 主体 A 发 送 的 运算 结果 进行 加 密 运 算 ， 
如 果 加 密 运算 结果 等 于 随机 数 Rs, 即 Epra (Dsra (Rs)) 二 Rs, 则 表明 主体 A 知道 公 钥 
PKA 对 应 的 私 钥 SKA ,主体 A 的 身份 得 到 证 明 。 

4. 基于 指纹 

基于 指纹 的 单 向 鉴别 过 程 如 图 2. 22 所 示 ,实施 前 提 有 两 个 : 一 是 主体 A 和 主体 B 之 
间 已 经 约定 对 称 加 密 算 法 E 和 加 密 密 钥 KK; 二 是 主体 B 已 经 建立 用 户 指纹 库 。 当 主体 B 
需要 证 实用 户 A 的 身份 时 ,向 主体 A 发 送 随 机 数 Re, 主体 A 要 求 用 户 A 通过 指纹 传 感 
器 输入 指纹 ,然后 对 用 户 A 输入 的 指纹 和 主体 B 发 送 的 随机 Rs 进行 加 密 , 产 生 密 文 
Ex (Rs ,指纹 ) ,并 将 密 文 和 用 户 名 “用 户 A” 一 起 发 送 给 主体 B。 主 体 B 通过 解密 密 文 得 
到 用 户 A 的 指纹 ,然后 将 该 指纹 与 用 户 指纹 库 中 用 户 A 对 应 的 指纹 进行 比较 ,如 果 相 同 ， 
则 用 户 A 的 身份 鉴别 成 功 ,否则 用 户 A 的 身份 鉴别 失败 。 























用 户 指纹 库 
ORs 用 户 名 。 指纹 
wy 2 主体 主体 B 用 户 A ”指纹 A 
~ 而 _ 用 户 B ”指纹 B 
指纹 传感器 图 用 户 A，EK(Re， 指 纹 ) : 











图 2.22 基于 指纹 的 单 向 鉴别 过 程 


主体 B 发 送 随机 数 Rs ,主体 A 同时 加 密 指纹 和 主体 B 发 送 的 随机 数 Rs 的 目的 是 防 
止 黑客 通过 截获 加 密 用 户 A 的 指纹 后 产生 的 密 文 Ex (指纹 ), 骨 充 用 户 A 通过 主体 B 身 
份 鉴别 过 程 的 情况 发 生 。 


244 双向 鉴别 过 程 


1. 基于 共享 密 钥 

基于 共享 密 钥 的 双向 鉴别 过 程 如 图 2. 23 所 示 , 主 体 A 和 主体 B 共同 拥有 相同 的 对 
称 密 钥 民 , 且 双方 使 用 相同 的 对 称 密 钥 加 密 解 密 算 法 。 双 向 鉴别 过 程 是 主体 A 和 主体 B 
分 别 向 对 方 证 明 自己 知道 共享 密 钥 K 的 过 程 。 
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主体 B 产生 一 个 随机 数 Rs ,并 将 随机 数 Rs 发 送 给 Rs 
主体 A。 主体 A 产生 一 个 随机 数 R ,将 随机 数 Ra 和 随 
En 








机 数 Rs 串 接 在 一 起 ,并 用 对 称 密 钥 K 和 加 密 算 法 EE 对 上 
串 接 结果 RA 上 Rs 进行 加 密 运 算 , 生 成 密 文 Ek (Rs | 
Rs) ,将 密 文 发 送 给 主体 B。 主体 B 用 对 称 密 铀 K 和 解 
密 算法 D 对 密 文 进行 解密 ,获得 明文 ,如 果 从 明文 中 分 ”图 2 .23 基于 共享 密 铀 的 
离 出 Re, 即 Dx (Ex (Ra |‖ Rs)) 二 Ra ‖ Rs, 则 表示 主体 交加 要 基 和 各 
A 知道 对 称 密 铀 K ,主体 A 的 身份 得 到 证 明 。 主 体 B 从 明文 中 分 离 出 R ,用 对 称 密 钥 K 
和 加 密 算法 E 对 Ra 进行 加 密 运算 ,生成 密 文 Ex (R) ,将 密 文 发 送 给 主体 A。 主 体 A 用 
对 称 密 钥 K 和 解密 算法 D 对 密 文 进行 解密 ,获得 明文 ,如 果 明文 等 于 RA, 即 Di (Ex 
(Rs)) = RA, 则 表示 主体 B 知道 对 称 密 钥 K, 主 体 B 的 身份 得 到 证 明 。 

2. 基于 用 户 名 和 口令 

基于 用 户 名 和 口令 的 双向 鉴别 过 程 如 图 2. 24 所 示 , 主 体 A 证 明 自 己 身份 的 过 程 就 
是 向 主体 也 提供 有 效 的 用 户 名 和 口令 的 过 程 。 一 般 情况 下 ,主体 A 对 应 的 口令 只 有 主体 
A 和 主体 B 知道 ,如 主体 A 是 注册 用 户 “ 用 户 A”, 主 体 B 是 作为 Internet 服务 提供 商 
(Internet Service Provider,ISP) 的 电信 ,用 户 A 对 应 的 口令 PASSA 只 有 用 户 A 和 电信 
知道 ,因此 ,主体 B 为 了 证 明 自 己 是 电信 ,需要 向 用 户 A 证 明知 道 用 户 A 的 口令 PASSA。 


Ex(RA) 





DR 注册 用 户 库 
信 
FRA ARPA, Ra, MDS(RolPASSA) | 二 个 有 中 全 














用 户 B PASSB 


MD5(RAIIPASSA) 
图 2.24 基于 用 户 名 和 口令 的 双向 鉴别 过 程 


主体 B 产生 一 个 随机 数 Rs ,并 将 随机 数 Rs 发 送 给 主体 A, 主 体 A 将 随机 数 Rs 和 自 
己 的 口令 PASSA 串 接 在 一 起 ,并 对 串 接 结 果 进 行 报 文摘 要 运算 。 主 体 A 产生 一 个 随机 
数 Rs, 然后 将 用 户 名 “用 户 A”、 随 机 数 Ra 和 报 文摘 要 MD5(Rs | PASSA) 一 起 发 送 给 主 
体 B。 主体 BB 根据 用 户 名 “用 户 A” 检 索 注 册 用 户 库 , 找 到 用 户 名 为 用 户 A 的 注册 用 户 ， 
获取 其 口令 PASSA ,将 随机 数 Re 和 口令 PASSA 串 接 在 一 起 ,并 对 串 接 结果 进行 报 文摘 
要 运算 。 然 后 将 运算 结果 与 主体 A 发 送 的 报 文摘 要 进行 比较 ,如 果 相 等 , 则 表明 主体 A 
是 用 户 名 为 用 户 A 的 注册 用 户 ,主体 A 的 身份 得 到 证 明 。 

主体 也 将 随机 数 RA 和 用 户 A 对 应 的 口令 PASSA 串 接 在 一 起 ,并 对 串 接 结果 进行 报 
文摘 要 运算 。 将 报 文摘 要 MD5(RA | PASSA) 发 送 给 主体 A。 主 体 A 将 随机 数 RA 和 口 
令 PASSA 串 接 在 一 起 ,并 对 串 接 结果 进行 报 文摘 要 运算 。 然 后 将 运算 结果 与 主体 B 发 
送 的 报 文摘 要 进行 比较 ,如 果 相等 , 则 表明 主体 B 知道 用 户 A 对 应 的 口令 ,主体 了 B 的 身份 
得 到 证 明 。 

基于 用 户 名 和 口令 的 双向 鉴别 用 于 防止 用 户 接 入 伪造 的 接 入 点 (Access Point, AP) 
和 伪造 的 ISP 接 入 网 ,以 免 用 户 访问 Internet 的 信息 被 伪造 的 AP 和 伪造 的 ISP 截获 。 
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3. 基于 证 书 和 私 钥 


基于 证 书 和 私 钥 的 双向 鉴别 过 程 如 图 2. 25 所 示 ,主体 B 拥有 用 于 证 明 公 钥 PKA 与 
主体 A 之 间 绑 定 关 系 的 证 书 , 且 证 书 的 有 效 性 已 经 得 到 验证 。 主 体 A 证 明 自 己 身 份 的 过 
程 就 是 证 明 自 己 知道 公 钥 PKA 对 应 的 私 钥 SKA 的 过 程 。 同 样 ,主体 A 拥有 用 于 证 明 公 
钥 PKB 与 主体 B 之 间 绑 定 关系 的 证 书 , 且 证 书 的 有 效 性 已 经 得 到 验证 。 主 体 也 证明 自 
己 身 份 的 过 程 就 是 证 明 自 己 知道 公 钥 PKB 对 应 的 私 钥 SKB 的 过 程 。 






































证 书 DRs 证 书 
主体 B 的 公 钥 E 体 A 的 公 钥 
是 PKB 主体 A (DDsxa(RalIRe) 主体 B 是 PKA 
CA 签名 CA 等 名 
GDske(RA) 


图 2.25 基于 证 书 和 私 钥 的 双向 鉴别 过 程 


主体 B 产生 一 个 随机 数 Re ,并 将 随机 数 Re 发 送 给 主体 A。 主 体 A 产生 一 个 随机 数 
RA ,将 随机 数 RA 和 随机 数 Re 串 接 在 一 起 ,然后 用 私 钥 SKA 和 解密 算法 D 对 串 接 结 果 
Ra ‖ Rs 进行 解密 运算 ,得 到 运算 结果 Dsxa (Ra | Ra) ,并 将 运算 结果 Dsks(RA ‖ Ra) 回 送 
给 主体 B。 主 体 B 用 公 钥 PKA 和 加 密 算法 EE 对 主体 A 发 送 的 运算 结果 进行 加 密 运算 ， 
如 果 从 加 密 运 算 结 果 中 分 离 出 随机 数 Rs , 即 Epra (Dsra (Ra | Ra)) 王 RA | Rs, 则 表明 主 
体 A 知道 公 钥 PKA 对 应 的 私 钥 SKA ,主体 A 的 身份 得 到 证 明 。 

主体 B 从 加 密 运算 结果 中 分 离 出 随机 数 R ,用 私 钥 SKB 和 解密 算法 D 对 随机 数 RA 
进行 解密 运算 ,得 到 运算 结果 Dsrs (RA) ,并 将 运算 结果 Dske(RA) 发 送 给 主体 A。 主 体 A 
用 公 钥 PKB 和 加 密 算法 下 对 主体 B 发 送 的 运算 结果 进行 加 密 运 算 , 如 果 加 密 运 算 结果 
等 于 随机 数 RA, 即 Eprs (Dsrs (Ra)) = RA, 则 表明 主体 B 知道 公 钥 PKB 对 应 的 私 钥 
SKB, 主 体 B 的 身份 得 到 证 明 。 


245 第 三 方 鉴别 过 程 


1. 引出 第 三 方 鉴别 的 原因 

基于 证 书 和 私 钥 鉴别 过 程 要 求 鉴别 者 必须 拥有 用 于 证 明 公 钥 与 示 证 者 之 间 绑 定 关系 
的 证 书 , 且 证 书 的 有 效 性 已 经 得 到 验证 。 验 证 证 书 的 有 效 性 需要 提供 从 鉴别 者 和 示 证 者 
共同 的 信任 点 开始 的 证 书 链 。 因 此 ,在 鉴别 者 和 示 证 者 经 常 变换 的 情况 下 ,验证 证 书 有 效 
性 的 过 程 将 是 一 个 十 分 复杂 的 过 程 。 所 谓 的 第 三 方 鉴别 就 是 由 权威 机 构 提 供与 示 证 者 绑 
定 的 公 钥 , 且 公 钥 与 示 证 者 之 间 的 绑 定 关系 由 权威 机 构 耶 以 证 明 。 

2. 鉴别 过 程 

第 三 方 鉴别 过 程 如 图 2. 26 所 示 , 公 钥 管理 机 构 是 一 个 权威 机 构 , 由 公 钥 管理 机 构 提 
供与 示 证 者 绑 定 的 公 钥 , 且 示 证 者 与 公 钥 之 间 的 绑 定 关系 由 公 钥 管理 机 构 予 以 证 明 。 每 
一 个 主体 生成 公 铀 和 私 钥 对 ,主体 拥有 私 钥 ,由 公 钥 管理 机 构 管理 与 每 一 个 主体 绑 定 的 公 
钥 , 且 巾 公 钥 管理 机 构 证 明 主 体 与 公 钥 之 间 的 绑 定 关系 。 每 一 个 主体 拥有 公 钥 管理 机 构 
的 公 钥 PK, 且 PK 与 公 钥 管理 机 构 之 间 的 绑 定 关系 已 经 得 到 证 明 。 

为 了 鉴别 主体 A 的 身份 ,由 公 钥 管理 机 构 提 供与 主体 A 绑 定 的 公 钥 PKA, 且 PKA 
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公 钥 库 
主体 名 公 铀 
主体 A PKA 
主体 B PKB 
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钙 请求 | 时 间 ， 图 请 求 | 时 间 2 


@Dsk(PKB| 请 求 | 时 间 )) 

@@Dsk(PKAI 请 求 | 时 间 ?) 

人 Enke( 主 体 AlIRA) 
Epra(RAlRe) 




















@Epke(Re) 
图 2.26 第 三 方 鉴别 过 程 


与 主体 A 之 间 的 绑 定 关系 得 到 公 钥 管理 机 构 的 证 明 。 主 体 A 只 要 证 明 自 己 拥有 与 PKA 
对 应 的 私 钥 SKA, 即 可 证 明 自 己 是 主体 A。 

当主 体 A 希望 与 主体 B 通信 时 ,主体 A 向 公 钥 管理 机 构 发 送 对 主体 B 的 身份 进行 
鉴别 的 请 求 消息 , 公 钥 管理 机 构 接 收 该 请 求 消息 后 ,根据 主体 名 “主体 B” 在 公 钥 库 中 检索 
到 主体 B 对 应 的 公 钥 PKB, 用 公 钥 管理 机 构 的 私 钥 SK 和 解密 算法 D 对 主体 B 的 公 钥 
PKB 和 请 求 消息 进行 解密 运算 ,并 将 运算 结果 Dsk (PKB | 请 求 ‖ 时间 , ) 发送 给 主体 A。 
主体 A 接收 到 公 钥 管理 机 构 发 送 的 解密 运算 结果 ,用 公 钥 管理 机 构 的 公 钥 PK 和 加 密 算 
法 玉 对 公 钥 管理 机 构 发 送 的 运算 结果 进行 加 密 运算 ,并 从 加 密 运算 结果 (Epx (Dsk (PKB 
| 请 求 ‖ 时 间 ,)) 二 PKB | 请求 ‖ 时间 , ) 中 分 离 出 主体 B 的 公 钥 PKB。 主 体 A 产生 随 
机 数 RA ,将 主体 名 主体 A 和 随机 数 RA 串 接 在 一 起 ,用 主体 B 的 公 钥 PKB 和 加 密 算法 EE 
对 串 接 结果 主体 A | RA 进 行 加 密 运算 ,并 将 加 密 运 算 结 果 Eprs (主体 A ‖ RA) 发 送 给 主体 
B。 主 体 B 用 自己 的 私 钥 SKB 和 解密 算法 D 对 主体 A 发 送 的 加 密 运算 结果 Epxs (主体 A 
| Rs) 进行 解密 运算 ,得 到 结果 三 Dsrs (Eprs (主体 A Rs))== 主 体 A RA。 

主体 B 获悉 需要 与 主体 A 通信 后 ,向 公 钥 管 理 机 构 发 送 请 求 对 主体 A 的 身份 进行 鉴 
别 的 请 求 消息 , 公 钥 管理 机 构 接收 该 请 求 消息 后 ,根据 主体 名 “主体 A” 在 公 钥 库 中 检索 到 
主体 A 对 应 的 公 钥 PKA, 用 公 钥 管理 机 构 的 私 钥 SK 和 解密 算法 D 对 主体 A 的 公 钥 
PKA 和 请 求 消息 进行 解密 运算 ,并 将 运算 结果 Dsk (PKA | 请 求 ‖ 时 间 , ) 发 送 给 主体 B。 
主体 B 接 收 到 公 钥 管理 机 构 发 送 的 解密 运算 结果 ,用 公 钥 管理 机 构 的 公 钥 PK 和 加 密 算 
法 EE 对 公 钥 管理 机 构 发 送 的 运算 结果 进行 加 密 运 算 , 并 从 加 密 运 算 结果 (Epx (Dsk (PKA 
| 请 求 上 时间 ,)) 二 PKA | 请 求 上 时 间 ,) 中 分 离 出 主体 A 的 公 钥 PKA。 主 体 B 产 生 随 
机 数 Ra ,将 随机 数 Re 和 主体 A 发 送 的 随机 数 RA 串 接 在 一 起 ,用 主体 A 的 公 钥 PKA 和 
加 密 算法 E 对 串 接 结果 RA | Rs 进行 加 密 运 算 , 并 将 加 密 运 算 结 果 EekA(RA | Ra ) 发送 给 
主体 A。 主体 A 用 自己 的 私 钥 SKA 和 解密 算法 D 对 主体 B 发 送 的 加 密 运 算 结 果 
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Epra (Ra | Rs) 进 行 解密 运算 ,得 到 结果 二 Dska (Epka (Ra | Rs))= Ra | Re。 如 果 主 体 A 
从 解密 运算 结果 中 分 离 出 随机 数 RA, 则 证 明 主 体 B 拥有 公 钥 PKB 对 应 的 私 钥 SKB, 主 
体 B 的 身份 得 到 证 明 。 

主体 A 用 主体 B 的 公 钥 PKB 和 加 密 算法 下 对 随机 数 Rs 进行 加 密 运 算 , 并 将 加 密 运 
算 结果 Eprs (Rs) 发 送 给 主体 B。 主 体 B 用 自己 的 私 钥 SKB 和 解密 算法 D 对 主体 A 发 送 
的 加 密 运 算 结 果 Eprs (Rs) 进 行 解密 运算 ,得 到 结果 二 Dsks (Epks (Rs)) 二 Rs。 如 果 解 密 运 
算 结 果 等 于 随机 数 Rs , 则 证 明 主体 A 拥有 公 钥 PKA 对 应 的 私 钥 SKA ,主体 A 的 身份 得 
到 证 明 。 


本 章 小 结 


加 密 过 程 是 将 明文 表示 的 信息 转换 成 密 文 表示 的 信息 的 过 程 。 

加 密 是 实现 网 络 环境 下 的 信息 保密 性 的 基础 。 

存在 对 称 密 钥 体制 和 非 对 称 密 钥 体制 这 两 种 密 钥 体 制 。 

对 称 密 钥 体制 中 存在 分 组 密码 体制 和 流 密码 体制 。 

分 组 密码 体制 允许 反复 使 用 同一 密 钥 ,但 需要 将 明文 分 割 成 固定 长 度 的 数据 段 后 
再 进行 加 密 运 算 。 

流 密码 体制 的 每 一 次 加 密 过 程 使 用 不 同 的 密 钥 , 且 这 些 密 钥 之 间 没 有 相关 性 。 
非 对 称 密 钥 体制 的 加 密 密 钥 与 解密 密 钥 是 不 同 的 , 且 不 能 够 由 一 个 密 钥 推导 出 另 
一 个 密 钥 。 

公开 密 钥 加 密 算法 RSA 是 属于 非 对 称 密 钥 体制 的 加 密 算 法 ,同时 也 是 一 种 属于 
分 组 密码 体制 的 加 密 算 法 , 即 需 要 将 明文 分 割 成 固定 长 度 的 数据 段 后 青 进 行 加密 
运算 。 

RSA 的 加 密 密 钥 可 以 公开 ,但 解密 密 钥 必 须 保密 。 

对 称 密 钥 体 制 和 非 对 称 密 钥 体制 是 两 种 互补 性 很 强 的 密 钥 体 制 ,结合 使 用 有 利于 
发 挥 各 自 优点 。 

报 文摘 要 算法 是 一 种 将 任意 长 度 的 报 文 转换 成 固定 长 度 的 报 文摘 要 的 算法 , 报 文 
摘要 算法 的 重要 特点 是 抗 碰撞 性 和 单 向 性 。 

用 于 实现 信息 完整 性 检测 的 附加 信息 称 为 消息 鉴别 码 ,通常 是 对 需要 进行 完整 性 
检测 的 消息 的 报 文摘 要 加 密 运 算 后 得 到 的 结果 。 

MD5 和 SHA 是 目前 常用 的 报 文摘 要 算法 。 

报 文摘 要 算法 的 抗 碰撞 性 和 单 向 性 使 得 报 文摘 要 可 以 用 于 实现 完整 性 检测 密码 
安全 存储 和 数字 签名 等 应 用 。 

数字 签名 是 某 个 报 文 的 附加 信息 ,该 附加 信息 一 是 能 够 证 明 签名 者 的 真实 性 ,二 
是 能 够 证 明 签名 者 对 该 报 文 的 确认 。 

基于 RSA 数字 签名 的 关键 是 认证 中 心 颁布 的 用 于 证 明 用 户 与 其 公 钥 之 间 绑 定 关 
系 的 证 书 。 

身份 鉴别 过 程 是 一 方向 另 一 方 证 明 自 己 身份 的 过 程 。 
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。 身份 鉴别 方式 可 以 分 为 单 向 鉴别 、 双 向 鉴别 和 第 三 方 鉴 别 三 种 。 
习 题 


2.1 简 述 加 密 过 程 必 须 是 可 道 的 含义 和 必要 性 。 

2.2 完成 字符 串 this is a good job 的 凯撒 密码 加 密 解 密 过 程 ( 加 密 解密 过 程 不 含 字 
符 串 中 的 空格 ) 。 

2.3 完成 字符 串 this is a good job 的 换 位 密码 加 密 解密 过 程 (加 密 解密 过 程 不 含 字 
符 串 中 的 空格 ) 。 

2.4 简 述 替代 加 密 算 法 和 换 位 加 密 算法 的 特点 。 

2.5 简 述 明文 集合 M 和 密 文集 合 C 之 间 关 系 。 

2.6 简 述 明文 长 度 与 密 文安 全 性 之 间 的 关系 。 

2.7 简 述 以 下 两 种 极端 情况 的 危害 : 明文 长 度 很 小 ,加 密 密 钥 长 度 很 大 ; 四 明文 
长 度 很 大 ,加 密 密 钥 长 度 很 短 。 

2.8 简 述 两 种 密码 体制 的 特点 。 

2.9 简 述 对 称 密 钥 体制 保障 密 钥 安 全 性 的 两 种 思路 (复杂 的 加 密 解密 算法 和 一 次 一 
密 ) 的 优 缺 点 。 

2.10 简 述 分 组 密码 体制 中 明文 长 度 和 密 钥 长 度 之 间 的 关系 。 

2.11 如 果 8 位 数据 段 的 置换 规则 为 {8,5,4,1,7,2,6,3}, 求 出 逆 置 换 规 则 。 假 定 8 
位 数据 段 是 10011101 ,给 出 置换 和 逆 置 换 过 程 。 

2.12 为 什么 说 报 文摘 要 算法 的 抗 碰撞 性 是 用 报 文摘 要 实现 完整 性 检测 的 前 提 ? 

2.13 简 述 不 用 MD5 或 SHA-1 作为 生成 检 错 码 的 算法 的 理由 。 

2.14 MD5 将 任意 长 度 报 文 映射 到 128 位 的 报 文摘 要 ,肯定 存在 多 个 不 同 的 报 文 映 
射 到 相同 的 128 位 报 文摘 要 的 情况 ,如 何 理解 MD5 的 抗 碰 撞 性 ? 

2.15 简 述 SHA-1 安全 性 好 于 MD5 的 理由 。 

2.16 用 户 A 的 RSA 公 钥 和 私 钥 对 为 PKA、SKA, 用 户 B 的 RSA 公 钥 和 私 钥 对 为 
PKB、SKB, 如 果 用 户 BB 需 要 确定 数据 发 送 者 是 用 户 A, 而 用 户 A 只 希望 用 户 B 能 读 取 数 
据 ,用 户 A 如 何 封装 数据 ? 如 果 用 户 A 将 发 送 大 量 数据 给 用 户 B, 如 何 解决 发 送 端 身 份 
鉴别 和 数据 加 密 的 问题 ? 

2.17 简 述 网 络 环境 下 身份 鉴别 的 特殊 性 。 

2.18 基于 共享 密 钥 的 单 向 身份 鉴别 过 程 中 的 共享 密 钥 有 什么 保密 要 求 ? 
2.19 基于 用 户 名 和 口令 的 单 向 身份 鉴别 过 程 中 的 口令 有 什么 保密 要 求 ? 
2.20 ”基于 证 书 和 私 钥 的 单 向 身份 鉴别 过 程 中 的 私 铀 有 什么 保密 要 求 ? 
2.21 简 述 单 向 身份 鉴别 过 程 中 随机 数 的 特性 和 用 途 。 
2 
2 
区 
2 





.22 简 述 基于 共享 密 钥 的 双向 身份 鉴别 的 实现 思路 。 

.23 简 述 基于 用 户 名 和 口令 的 双向 身份 鉴别 的 实现 思路 。 

.24 简 述 基于 证 书 和 私 钥 的 双向 身份 鉴别 的 实现 思路 。 

.25 简 述 基于 证 书 和 私 钥 的 双向 身份 鉴别 与 第 三 方 鉴别 的 异同 。 
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病毒 防御 技术 


病毒 是 计算 机 面临 的 最 大 威胁 ,防御 病毒 需要 从 三 个 方面 着 手 : 一 是 养 成 良好 的 使 
用 计算 机 和 上 网 的 习惯 ,防止 计算 机 植 和 病毒 ;二 是 通过 杀毒 软件 及 时 清除 计算 机 中 已 经 
植 和 的 病毒 三 是 通过 监控 程序 运行 过 程 发 现 病毒 ,控制 病毒 造成 的 危害 。 


3.1 病毒 作用 过 程 


病毒 是 一 种 恶意 代码 ,只 有 植 人 主机 系统 并 被 执行 ,才能 对 计算 机 系统 和 网 络 系统 产 
生 破 坏 作 用 。 病 毒 又 是 一 种 特殊 的 恶意 代码 ,具有 感染 和 传播 能 力 。 为 了 完成 感染 和 传 
播 过 程 ,病毒 需要 隐藏 在 主机 系统 中 ,并 不 时 激发 其 感染 和 传播 功能 。 

病毒 防御 技术 需要 贯穿 整个 病毒 的 作用 过 程 : 能 够 阻止 病毒 植 和 ,能够 发 现 隐藏 在 
主机 系统 的 病毒 并 予以 清除 .能够 检测 到 病毒 的 感染 和 传播 过 程 并 予以 阻止 ,能 够 检测 到 
病毒 的 破坏 过 程 并 予以 制止 。 


3.1.1 病毒 的 存在 形式 


病毒 可 以 是 一 段 寄生 在 其 他 程序 和 文件 中 的 恶意 代码 ,也 可 以 是 一 个 完整 的 程序 。 
寄生 在 其 他 程序 和 文件 中 的 病毒 称 为 寄生 病毒 。 对 于 寄生 病毒 ,嵌入 病毒 的 程序 和 文件 
称 为 宿主 程序 和 文件 。 为 了 方便 ,将 嵌入 病毒 的 程序 和 完整 .独立 的 病毒 程序 统称 为 病毒 
程序 。 

1. 寄生 病毒 

(1) 脚本 病毒 

脚本 病毒 是 用 脚本 语言 编写 的 一 段 恶意 代码 ,嵌入 在 超 文本 标记 语言 (Hyper Text 
Markup Language,HTML) 文 档 中 , 当 浏览 器 浏览 嵌入 脚本 病毒 的 HTML 文档 时 ,将 执 
行 用 脚本 语言 编写 的 脚本 病毒 。 

(2) 宏 病 毒 

宏 病 毒 以 宏 的 形式 寄生 在 Office 文档 中 , 宏 通 常 由 Visual Basic 宏 语 言 (Visual Basic 
for Application,VBA) 编 写 。 当 用 户 通 过 Office 软件 (如 Word、Excel 等 ) 打 开 包含 宏 病 
毒 的 Office 文档 时 ,Office 软件 将 执行 以 宏 的 形式 寄生 在 Office 文档 中 的 宏 病 毒 。 

(3) PE 病毒 

可 移植 的 执行 体 (Portable Executable,PE) 是 指 win 32 可 执行 文件 ,如 后 级 为 exe、 
dll 和 ocx 等 的 文件 。PE 病毒 是 嵌入 在 PE 格式 文件 中 的 一 段 恶意 代码 , 当 运 行 PE 格式 
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文件 时 ,执行 嵌入 在 PE 格式 文件 中 的 PE 病毒 。 
2. 非 寄生 病毒 
非 寄 生病 毒 是 一 个 独立 、 完 整 的 程序 ,可 以 单独 执行 。 蠕 虫 病毒 一 般 是 非 寄 生病 毒 。 


3.12 病毒 的 植 入 方式 


对 于 寄生 病毒 ,病毒 植 人 是 指 将 包含 病毒 的 宿主 程序 或 宿主 文件 传输 到 主机 系统 中 
的 过 程 。 对 于 非 寄生 病毒 ,病毒 植 人 是 指 将 独立 、 完 整 的 病毒 程序 传输 到 主机 系统 中 的 
过 程 。 

1. 移动 媒体 

移动 媒体 是 植 入 病毒 的 主要 手段 之 一 ,通过 移动 媒体 ,可 以 将 包含 病毒 的 宿主 程序 或 
宿主 文件 ,以 及 独立 ,完整 的 病毒 程序 复制 到 主机 系统 中 ,作为 该 主机 系统 的 某 个 文件 。 

2. 访问 网 页 

网 页 中 可 以 嵌入 脚本 病毒 , 当 通过 浏览 器 访问 嵌入 脚本 病毒 的 网 页 时 ,包含 脚本 病毒 
的 网 页 被 下 载 到 主机 系统 中 。 

3. 下 载 实用 程序 

有 些 应 用 程序 中 嵌入 了 PE 病毒 ,甚至 有 些 应 用 程序 本 身 就 是 一 个 完整 ,独立 的 病毒 
程序 ,只 是 为 该 病毒 程序 取 了 一 个 具有 欺骗 性 的 名 字 。 当 用 户 通过 网 络 下 载 这 样 的 应 用 
程序 后 ,该 应 用 程序 会 以 PE 格式 的 文件 存储 在 主机 系统 中 。 

4. 下 载 和 复制 Office 文档 

当 用 户 通过 移动 媒体 复制 了 包含 宏 病毒 的 Office 文档 ,或 者 通过 网 络 下 载 了 包含 宏 
病毒 的 Office 文 档 后 ,包含 宏 病 毒 的 Office 文档 以 Office 文档 的 格式 存储 在 主机 系 
统 中 。 

5. 邮件 附件 

电子 邮件 的 附件 可 以 是 嵌入 了 PE 病毒 的 PE 格式 文件 ,也 可 以 是 包含 宏 病毒 的 
Office 文档 , 当 用 户 接收 并 存储 了 附件 是 嵌入 了 PE 病毒 的 PE 格式 文件 ,或 者 是 包含 宏 
病毒 的 Office 文档 的 电子 邮件 后 ,事实 上 是 存储 了 嵌入 了 PE 病毒 的 PE 格式 文件 ,或 者 
是 包含 宏 病毒 的 Office 文档 。 

6. 黑客 上 传 

黑客 利用 主机 系统 漏洞 成 功 人 侵 主机 系统 后 ,往往 会 上 传 后 门 程序 ,这 种 后 门 程序 将 
长 期 驻 留 在 主机 系统 中 。 

7. 蠕虫 蔓延 

当 网 络 中 的 某 个 主机 系统 执行 蠕虫 病毒 时 ,该 蜂 虫 病毒 将 自动 地 向 网 络 中 的 其 他 主 
机 系统 传播 自身 。 

8. 智能 手机 病毒 植 入 过 程 

智能 手机 病毒 植 人 过 程 与 普通 计算 机 系统 相 比 有 着 一 些 特殊 性 ,以 下 是 常见 的 智能 
手机 植 入 病毒 过 程 。 

(1) 下 载 安装 戏 入 病毒 的 应 用 程序 

黑客 可 以 对 某 个 下 载 量 较 大 的 应 用 程序 (App) 进 行 如 下 处 理 , 即 解 包 (Unpacking)、 
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反 汇 编 (Decompiling) ,在 入 病毒 (Code Injection) 、 重 新 生成 源 代码 (Source Code) .重新 
打包 (Repacking) ,然后 将 该 嵌入 病毒 的 应 用 程序 (App) 上 传 到 一 些 缺 乏 安全 验证 的 中 小 
型 手机 软件 论坛 ,骗取 用 户 下 载 安 装 。 一 旦 用 户 下 载 安 装 这 样 的 应 用 程序 ,就 会 完成 病毒 
程序 的 植 人 过 程 。 

(2) 打开 诱导 植 和 人 病毒 的 链接 

一 些 骗取 用 户 扫描 的 二 维 码 和 一 些 用 于 实施 欺骗 的 短 消 息 中 会 嵌入 某 个 链接 ,该 链 
接 指向 的 网 页 主要 用 于 诱导 用 户 下 载 安装 病毒 程序 。 如 果 用 户 按照 该 网 页 的 提示 完成 操 
作 过 程 , 将 完成 病毒 程序 的 植 入 过 程 。 


3.1.3 病毒 隐藏 和 运行 


病毒 植 人 主机 系统 后 ,一 是 必须 运行 ,二 是 需要 隐藏 ,三 是 需要 能 够 被 不 时 激发 。 病 
毒 第 一 次 运行 的 过 程 与 病毒 的 存在 形式 和 植 入 方式 有 关 。 

1. 病毒 的 首次 运行 过 程 

(1) U 盘 AutoRun 病毒 

如 果 仅 仅 通过 U 盘 等 移动 媒体 将 包含 病毒 的 宿主 程序 或 宿主 文件 ,以 及 独立 、 完 
的 病毒 程序 作为 文件 存储 在 主机 系统 中 , 则 需要 人 工 激发 该 病毒 的 第 一 次 运行 过 程 。 一 
般 情况 下 ,人 工 激发 该 病毒 的 第 一 次 运行 过 程 的 机 会 不 是 很 大 ,除非 将 病毒 炭 入 一 个 非常 
有 用 的 应 用 程序 中 ,或 者 为 独立 .完整 的 病毒 程序 取 一 个 非常 有 欺骗 性 的 文件 名 。 

通常 做 法 是 将 病毒 写 人 U 盘 中 ,然后 修改 U 盘 的 AutoRun. inf 文件 ,将 病毒 程序 作 
为 双击 U 盘 后 执行 的 程序 。 如 果 已 经 启动 Windows 的 自动 播放 功能 , 当 用 户 打开 该 U 
盘 时 , Windows 将 自动 执行 该 病毒 程序 。 

解决 自动 运行 AutoRun 病毒 问题 的 方法 是 关闭 Windows 的 自动 播放 功能 。 关 闭 
Windows 7 自动 播放 功能 的 过 程 如 下 。 完 成 “开始 ?一 “运行 ?操作 过 程 , 弹 出 如 图 3.1 所 
示 的 “运行 "程序 界面 ,在 “打开 ”输入 框 中 输入 命令 gpedit. msc。 单 击 “ 确 定 ” 按 钮 ,弹出 
“本 地 组 策略 管理 器 "界面 。 在 “本 地 组 策略 管理 器 "界面 上 完成 “计算 机 配置 ">“ 管 理 模 
板 ”>“ 所 有 设置 "操作 过 程 ,弹出 如 图 3. 2 所 示 的 “所 有 设置 ”, 找 到 并 双击 “关闭 自动 播 
放 ” 这 一 设置 ,弹出 如 图 3. 3 所 示 的 “关闭 自动 播放 ”界面 ,选中 “已 启用 ”, 在 “关闭 自动 播 
放 ” 列 表 中 选择 “CD -ROM 和 可 移动 介质 驱动 器 *»。 最 后 单 击 “ 确 定 ” 按 钮 ,完成 关闭 
Windows 7 的 自动 播放 功能 的 过 程 。 

















Windows 将 根据 您 所 轩 入 的 名 称 ,为 您 打开 相应 的 程序 
可 文件 去 文档 或 Internet 资源 . 





打开 (O)。 gpeditmsc 



































图 3.1 “运行 ?程序 界面 
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文件 疹 ”操作 (A) 过 看 (V) 帮助 (H) 
包 中 | 力 国 | 忆 1 日 可 








b 国 Windows 设置 
4 国 管理 模板 
b 盖 Windows 组 件 
四 打印 机 
b 国 控制 面板 
b 国 网 各 
四 系统 
六 所 有 设置 
4 网 用 户 配置 
b 症 软件 设置 
b 国 Windows 设置 


， wats 在 Xp sp2 之 前 ,情况 下 , 白 
动 放 在 可 称 动 动 器 0 软 生动 
吉 ,而 不 是 CD-ROM 彼 动 漳 和 网 
洛 引 动 池上 拉 本 用 。 





从 XP SP2 开始 , 自动 对 放 也 在 可 














图 3.2 “本 地 组 策略 管理 器 ”界面 























攻 动 : 





关闭 后 动 王 放 功能 . 





一 且 构 介质 插入 疡 动 器 ， 扣 动 找 放 就 开始 从 驱动 器 中 进行 读 取 担 作 
。 这 样 ， 程 序 的 安装 文件 和 音 稀 瞻 体 上 的 音乐 检 立 即 启动 . 


在 Xp SP2 之 前 ,默认 情况 下 ,自动 提 放 在 可 移动 驱动 器 ( 如 软盘 
到 动 器 ， 而 不 是 CD-ROM 红 动 句 ) 和 网 络 豫 动 器 上 被 禁用 , 








从 XP SP2 开始 ,自动 阿 放 也 在 可 移动 哎 动 器 (包括 ZIP 驱动 器 和 
鞭 些 USB 大 容量 存储 设备 ) 上 启用 


如 果 害 用 此 设置 ， 则 可 以 禁用 CD-ROM 和 可 移动 介质 驱动 器 上 的 
自动 缆 放 ， 也 可 以 禁用 所 有 瘾 动 器 上 的 自动 重 放 . 


此 设置 禁用 其 他 类型 的 纺 动 蓝 上 的 自动 挤 放 。 无 法 使 用 此 设置 在 默 
认 情 况 下 已 禁用 的 自动 对 放 的 驱动 器 上 启用 自动 对 放 . 


注 章 此 设置 出 现在 “计算 机 配置 ”文件 夫 和 “用 户 配置 ”文件 夫 
中 。 如 果 两 个 设置 发 生 溃 突 , 则 “计算 机 配置 ”中 的 设置 优先 于 “ 
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图 3.3 “关闭 自动 播放 ”界面 
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(2) 宏 病 毒 


用 户 必须 用 Office 软件 打开 包含 宏 病 毒 的 Office 文档 ,才能 执行 包含 在 Office 文档 
中 的 宏 病 毒 。 

(3) 脚本 病毒 

当 浏 览 器 浏览 包含 脚本 病毒 的 网 页 时 ,浏览 器 执行 包含 在 网 页 中 的 脚本 病毒 。 

(4) PE 病毒 

用 户 必须 人 工 执行 ,或 者 由 其 他 进程 调用 包含 PE 病毒 的 PE 格式 文件 ,才能 执行 包 
含 在 PE 格式 文件 中 的 PE 病毒 。 

(5) 蠕虫 病毒 

蠕虫 病毒 的 特点 是 能 够 自动 完成 植 人 和 运行 过 程 , 当 网 络 中 某 个 主机 系统 执行 蠕虫 
病毒 时 ,蠕虫 病毒 能 够 自动 地 将 自身 植 人 网络 中 的 其 他 主机 系统 并 运行 。 这 是 蠕虫 病毒 
快速 蔓延 的 主要 原因 。 

(6) 智能 手机 病毒 程序 

智能 手机 病毒 程序 的 第 一 次 运行 过 程 通常 是 通过 下 载 安 装 过 程 完成 的 。 

2. 病毒 激发 机 制 

病毒 程序 为 了 能 够 被 不 时 激发 ,其 在 首次 运行 过 程 中 往往 需要 完成 以 下 过 程 。 

(1) 嵌入 BIOS 和 引导 区 

硬盘 的 第 一 个 扇 区 是 主 引导 区 , 主 引导 区 中 存放 了 分 区 表 和 主 引导 程序 。 每 一 个 
分 区 有 着 分 区 引导 区 ,分 区 引导 区 中 存放 了 分 区 引导 程序 。 如 果 某 个 分 区 作为 启动 分 
区 存放 操作 系统 , 则 由 该 分 区 的 分 区 引导 程序 完成 将 操作 系统 加 载 到 内 存 并 运行 的 
过 程 。 

主机 系统 从 加 电 到 运行 操作 系统 的 过 程 如 下 。 主 机 系统 加 电 后 ,首先 执行 基本 输入 
输出 系统 (Basic Input Output System,BIOS) ,然后 检测 主 引 导 区 ,执行 主 引 导 区 中 的 主 
引导 程序 。 由 主 引导 程序 找到 存放 操作 系统 的 分 区 ,执行 该 分 区 引导 区 中 的 分 区 引导 程 
序 , 由 分 区 引导 程序 完成 将 操作 系统 加 载 到 内 存 并 运行 的 过 程 。 

为 了 保证 每 一 次 加 电 启 动 过 程 都 能 够 激发 该 病毒 ,该 病毒 在 第 一 次 运行 过 程 中 需要 
完成 以 下 操作 之 一 。 

。 将 病毒 嵌入 BIOS。 

。 将 病毒 嵌入 主 引导 程序 。 

。 将 病毒 嵌入 存放 操作 系统 的 分 区 中 的 分 区 引导 程序 。 

(2) 病毒 程序 作为 自 启动 项 

运行 操作 系统 后 ,操作 系统 能 够 自动 执行 一 些 程序 ,这 些 程序 称 为 自 启动 项 。 为 了 保 
证 操作 系统 运行 后 能 够 自动 执行 病毒 程序 ,需要 将 病毒 程序 作为 自 启动 项 。 因 此 ,病毒 在 
第 一 次 运行 过 程 中 需要 完成 将 病毒 程序 添加 到 自 启动 项 列表 的 过 程 。 

查看 Windows 7 自 启动 项 列表 的 过 程 如 下 。 完 成 “开始 ”>“ 运 行 ”操作 过 程 ,弹出 如 
图 3.4 所 示 的 “运行 ”程序 界面 ,在 “打开 ”输入 框 中 输入 命令 msconfig, 在 弹出 的 “系统 配 
置 ? 界 面 中 ,选择 “启动 选项 卡 ,弹出 如 图 3. 5 所 示 的 “启动 项 目 ” 列 表 , 可 以 通过 不 再 选中 
某 个 启动 项 来 禁止 该 启动 项 。 如 果 “ 启 动 项 目 ” 列 表 中 出 现 可 疑 的 自 启动 项 , 则 需要 检查 
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该 自 启动 项 对 应 的 位 置信 息 。 
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图 3.5 “启动 项 目 ” 列 表 


(3) 修改 名 字 

为 了 隐藏 病毒 程序 ,需要 修改 病毒 程序 的 名 字 , 通 常会 为 病毒 程序 取 一 个 与 系统 文件 
相似 的 名 字 ,以 避免 引起 用 户 的 注意 。 

(4) 智能 手机 病毒 激发 机 制 

智能 手机 病毒 通常 具有 自 启动 功能 ,能 够 随 着 智能 手机 的 启动 而 启动 。 不 同 的 智能 
手机 操作 系统 有 着 不 同 的 自 启动 技术 ,智能 手机 病毒 的 第 一 次 运行 过 程 需 要 完成 将 自己 
变 为 自 启动 程序 的 过 程 。 


3.14 病毒 感染 和 传播 


病毒 的 每 一 次 运行 过 程 , 不 是 完成 感染 和 传播 的 过 程 , 就 是 完成 破坏 的 过 程 。 感 染 是 
指 寄生 病毒 将 自身 嵌入 另 一 个 宿主 文件 或 宿主 程序 的 过 程 。 传 播 是 指 将 独立 ,完整 的 病 
毒 程序 植 人 另 一 个 主机 系统 的 过 程 。 

一 般 情况 下 ,PE 病毒 感染 PE 格式 文件 , 宏 病 毒 感染 Office 文档 ,脚本 病毒 感染 
HTML 文档 ,蠕虫 病毒 自动 完成 传播 过 程 。 
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3.15 病毒 破坏 过 程 


1. 设置 后 门 

目前 大 量 病毒 的 作用 是 实现 主机 资源 的 非法 访问 ,因此 ,病毒 在 执行 过 程 中 会 创建 一 
个 用 于 远程 登录 上 且 具 有 管理 员 权 限 的 账号 ,使 得 黑客 可 以 不 时 地 非法 远程 登录 该 主机 系 
统 , 获 取 该 主机 系统 中 的 资源 。 

2. 监控 用 户 操作 过 程 

许多 间谍 软件 的 作用 是 监控 用 户 的 操作 过 程 , 当 间谍 软件 监测 到 用 户 访问 某 个 银行 
网 站 时 ,可 以 记录 该 用 户 输入 的 账号 和 密码 ,并 将 其 封装 成 邮件 ,发送 给 指定 邮件 地 址 。 

3. 破坏 硬盘 信息 

这 是 早期 病毒 执行 过 程 中 经 常 进行 的 破坏 活动 ,如 删除 硬盘 主 引导 区 中 的 内 容 , 使 得 
用 户 需要 重新 对 硬盘 进行 分 区 。 删 除 重 要 的 系统 文件 ,导致 操作 系统 无 法 运行 ,使 得 用 户 
需要 重新 安装 操作 系统 。 

4. 破坏 BIOS 

由 于 BIOS 存储 在 可 以 在 线 擦 除 和 写 入 的 闪存 中 ,因此 ,病毒 在 执行 过 程 中 可 以 擦 除 
甚至 修改 闪存 中 的 BIOS ,导致 主机 系统 无 法 启动 ,需要 由 厂家 重新 在 闪存 中 写 人 正确 的 
BIOS 。 

5. 发 起 拒绝 服务 攻击 

病毒 在 执行 过 程 中 ,可 以 发 起 对 网 络 或 目标 主机 系统 的 拒绝 服务 攻击 ,如 SYN 泛 洪 
攻击 、Smurf 攻击 等 。 

6. 蠕虫 蔓延 

如 果 某 个 主机 系统 执行 了 蠕虫 病毒 , 则 蠕虫 病毒 会 在 网 络 中 快速 蔓延 。 一 方面 ,蠕虫 
蔓延 过 程 会 浪费 大 量 网 络 资源 ,导致 拒绝 服务 攻击 的 结果 ; 另 一 方面 ,蠕虫 蔓延 过 程 会 导 
致 大 量 主机 系统 被 植 人 并 运行 该 蠕虫 病毒 。 

7. 对 智能 手机 的 破坏 过 程 

(1) 窃取 私密 信息 

智能 手机 有 着 大 量 的 私密 信息 ,如 通讯 录 , 短 消息 、 微 信和 聊天 记录 、 照 片 、 视 频 等 ,木马 
病毒 可 以 将 这 些 私密 信息 发 送 给 窃 密 者 。 

(2) 监控 用 户 操作 

木马 病毒 可 以 通过 监控 智能 手机 用 户 的 操作 过 程 窃取 支付 密码 等 。 

(3) 截获 验证 码 

木马 病毒 能 够 截获 验证 码 ,并 将 验证 码 转 发 给 窃 密 者 。 

(4) 移动 窃听 器 

病毒 程序 可 以 通过 启动 麦克 风 监 听 智 能 手机 周围 的 声音 ,并 将 录音 发 送 给 窃听 者 ,使 
智能 手机 成 为 一 个 移动 窃听 器 。 

(5) 跟踪 器 

病毒 程序 通过 启动 定位 功能 记录 智能 手机 的 行踪 ,并 将 智能 手机 的 行踪 发 送 给 窃 密 
者 ,使 智能 手机 成 为 一 个 跟踪 器 。 
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(6) 恶意 扣 费 
病毒 程序 通过 自动 启动 一 些 高 额 收费 服务 ,秘密 拨打 声讯 电话 等 进行 恶意 扣 费 。 


3.2 病毒 检测 技术 


病毒 检测 技术 用 于 发 现 计 算 机 中 已 经 植 和 人 的 病毒 ,并 清除 或 隔离 被 病毒 感染 的 文件 。 
Windows Defender 是 Windows 自 带 的 杀毒 软件 ,不 仅 能 够 静态 检测 被 病毒 感染 的 文件 ， 
而 且 能 够 动态 发 现 ` 终 止 病毒 的 感染 过 程 。 


321 基于 特征 的 扫描 技术 


1. 检测 病毒 过 程 

基于 特征 的 扫描 技术 是 目前 最 常用 的 病毒 检测 技术 ,首先 通过 分 析 已 经 发 现 的 病毒 ， 
提取 出 每 一 种 病毒 有 别 于 正常 代码 或 文本 的 病毒 特征 ,并 以 此 建立 病毒 特征 库 。 然 后 根 
据 病毒 特征 库 在 扫描 的 文件 中 进行 匹配 操作 ,整个 检测 过 程 如 图 3. 6 所 示 。 








一 一 一 | 文件 类 型 检测 模块 
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-一 一 一 一 | 可 执行 文件 | | 其 他 二 进 制 文本 文件 || Office 文 件 
文件 ， 如 DLL 
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图 3.6 基于 特征 的 扫描 检测 过 程 
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二 进 制 检测 引擎 

















目前 病毒 主要 分 为 嵌入 在 可 执行 文件 中 的 病毒 和 嵌入 在 文本 或 字 处 理 文件 中 的 脚本 
病毒 。 因 此 ,首先 需要 对 文件 进行 分 类 ,当然 ,如 果 是 压缩 文件 , 则 解压 后 再 进行 分 类 。 解 
压 后 的 文件 主要 分 为 两 大 类 : 一 类 是 二 进 制 代码 形式 的 可 执行 文件 ,包括 类 似 动态 链接 
库 (Dynamic Link Library, DLL) 的 库 函 数 ; 另 一 类 是 用 脚本 语言 编写 的 文本 文件 ,由 于 
Office 文件 中 可 以 嵌入 脚本 语言 编写 的 宏 代 码 ,因此 ,将 这 样 的 Office 文件 归 入 文本 文件 
类 型 。 

对 可 执行 文件 ,由 二 进 制 检 测 引 擎 根据 二 进 制 特征 库 进行 匹配 操作 ,如 果 这 些 二 进 制 
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代码 文件 经 过 类 似 ASPACK 、UPX 工具 软件 进行 加 壳 处 理 , 则 在 匹配 操作 前 必须 进行 脱 
壳 处 理 。 对 文本 文件 ,由 脚本 检测 引擎 根据 脚本 特征 库 进 行 匹配 操作 。 由 于 存在 多 种 脚 
本 语言 ,如 VBScript、JavaScript、.PHP 和 Perl。 在 匹配 操作 前 ,必须 先 对 文本 文件 进行 语 
法 分 析 , 然 后 根据 分 析 结 果 再 进行 匹配 操作 。 同 样 ,必须 从 类 似 字 处 理 文件 这 样 的 Office 
文件 中 提取 出 宏 代 码 ,然后 对 宏 代码 进行 语法 分 析 , 再 根据 分 析 结果 进行 匹配 操作 。 

2. 存在 问题 

基于 特征 的 扫描 技术 主要 存在 以 下 问题 。 

。 由 于 通过 特征 匹配 检测 病毒 ,因此 无 法 检测 出 变形 .加密 和 未 知 病毒 。 

。 必须 及 时 更 新 病毒 特征 库 。 

。 由 于 病毒 总 是 在 造成 危害 后 才 被 发 现 ,因此 该 技术 是 一 种 事后 补救 措施 。 


322 基于 线索 的 扫描 技术 


基于 特征 的 扫描 技术 由 于 需要 精确 匹配 病毒 特征 ,因此 很 难 检测 出 变形 病毒 。 但 病 
毒 总 有 一 些 规律 性 特征 ,如 有 些 变 形 病毒 通过 随机 产生 密 钥 和 加 密 作为 病毒 的 代码 来 改 
变 自己 。 对 于 这 种 情况 ,如 果 检 测 到 某 个 可 执行 文件 的 入 口 存在 实现 解密 过 程 的 代码 , 且 
解密 密 钥 包含 在 可 执行 文件 中 ,这 样 的 可 执行 文件 可 能 就 是 感染 了 变形 病毒 的 文件 。 基 
于 线索 的 扫描 技术 通常 不 是 精确 匹配 特定 二 进 制 位 流 模 式 或 文本 模式 的 ,而 是 通过 分 析 
可 执行 文件 入 口 代码 的 功能 来 确定 该 文件 是 否 感染 病毒 。 


323 基于 完整 性 检测 的 扫描 技术 


1. 完整 性 检测 过 程 

完整 性 检测 是 一 种 用 于 确定 任意 长 度 信 息 在 传输 和 存储 过 程 中 是 否 发 生 改 变 的 技 
术 , 它 的 基本 思想 是 在 传输 或 存储 任意 长 度 信息 P 时 ,添加 附加 信息 C,C 是 对 P 进行 报 
文摘 要 运算 后 的 结果 ,具有 如 下 特性 。 

。 给 定 任 意 长 度 信息 P, 能 够 很 容易 地 计算 出 固定 长 度 的 CCC=MD(CP),MD 是 报 

文摘 要 算法 ), 且 C 的 位 数 远 小 于 P 的 位 数 。 

。 知道 C, 不 能 反 推 出 P。 

。 从 计算 可 行 性 上 讲 , 对 于 任何 P, 无 法 找 出 另 一 任意 长 度 信息 P', 且 P 关 P', 但 

MD(P)= MD(P'), 

。 即使 只 改变 P 中 一 位 二 进 制 位 ,也 使 得 重新 计算 后 的 C 变化 很 大 。 

这 样 ,可 以 对 系统 中 的 所 有 文件 计算 出 对 应 的 C, 将 C 存储 在 某 个 列表 文件 中 ,扫描 
软件 定期 重新 计算 系统 中 每 一 个 文件 对 应 的 C, 并 将 计算 结果 和 列表 中 存储 的 结果 进行 
比较 ,如 果 相等 , 则 表明 该 文件 没有 发 生 改变 ,如 果 不 相 等 , 则 表明 该 文件 自 计算 出 列表 中 
存储 的 C 以 后 ,已 经 发 生 改 变 。 

为 了 防止 一 些 精致 的 病毒 能 够 在 感染 文件 的 同时 修改 文件 的 原始 报 文摘 要 ,可 以 采 
用 如 图 3.7 所 示 的 检测 过 程 ,在 计算 出 某 个 文件 对 应 的 原始 报 文摘 要 后 ,用 扫描 软件 自 带 
的 密 钥 K 对 报 文摘 要 进行 加 密 运 算 , 然 后 将 密 文 存储 在 原始 检测 码 列表 中 ,在 定期 检测 
文件 时 ,对 每 一 个 文件 同样 计算 出 加 密 后 的 报 文摘 要 ,并 和 存储 在 原始 检测 码 列表 中 的 密 
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图 3.7 基于 完整 性 的 扫描 检测 过 程 


2. 存在 问题 

基于 完整 性 检测 的 扫描 技术 只 能 检测 出 文件 是 否 发 生 改变 ,并 不 能 确定 文件 是 否 
被 病毒 感染 。 

必须 在 正常 修改 文件 后 ,重新 计算 该 文件 对 应 的 原始 检测 码 , 并 将 其 存储 在 原始 
检测 码 列表 中 ,否则 在 定期 检测 过 程 中 ,扫描 软件 会 对 该 文件 示警 。 

对 于 系统 中 需要 经 常 改变 的 文件 ,每 一 次 文件 改变 后 ,都 需要 通过 用 户 干预 ,生成 
与 改变 后 的 文件 一 致 的 原始 检测 码 , 这 种 干预 可 能 会 使 用 户 感到 不 便 。 

对 于 在 计算 初始 检测 码 前 已 经 感染 病毒 的 文件 ,这 种 检测 技术 是 无 效 的 。 


324 杀毒 软件 


1. 杀毒 软件 工作 原理 

目前 大 部 分 杀毒 软件 采用 的 是 基于 特征 的 扫描 技术 ,因此 只 能 检测 已 经 发 现 的 病毒 。 
这 一 类 杀毒 软件 的 病毒 查 杀 率 完全 取决 于 病毒 库 中 包含 的 病毒 特征 的 数量 。 因 此 保证 这 
一 类 杀毒 软件 查 杀 率 较 高 的 关键 有 两 点 : 一 是 厂家 提供 的 病毒 库 必须 尽 可 能 包含 目前 已 
经 发 现 的 所 有 病毒 的 病毒 特征 ;二 是 用 户 的 病毒 库 必须 与 厂家 的 病毒 库 同步 , 即 用 户 必须 
及 时 更 新 病毒 库 。 

2. 常见 的 杀毒 软件 

国内 常见 的 杀毒 软件 有 360 杀毒 ,金山 毒霸 、 瑞 星 杀 毒 等 。 国 外 常见 的 杀毒 软件 有 卡 
巴 斯 基 .诺顿 等 。 

可 以 基于 以 下 因素 选择 杀毒 软件 。 

， 是 否 免费 。 普 通用 户 大 都 选择 免费 的 杀毒 软件 。 

。 占用 资源 程度 。 运 行 时 ,占用 资源 越 少 的 杀毒 软件 对 计算 机 系统 的 影响 越 少 。 

， 病 毒 库 。 病 毒 库 包含 的 病毒 特征 数量 越 多 ,杀毒 软件 的 查 杀 率 越 高 ,因此 ,厂家 病 

毒 库 要 尽 可 能 包含 目前 已 经 发 现 的 所 有 病毒 的 病毒 特征 。 

目前 ,杀毒 软件 不 仅 能 够 静态 检测 已 经 感染 病毒 的 文件 ,而 且 能 够 动态 发 现 ` 终 止 病 
毒 感染 过 程 ,因此 杀毒 软件 通常 都 是 自 启动 软件 ,不 仅 可 以 静态 扫描 文件 ,而 且 可 以 实时 
监控 程序 运行 过 程 中 执行 的 操作 ,如 360 杀毒 软件 就 出 现在 了 图 3. 5 所 示 的 “启动 项 目 ” 
列表 中 。 
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3. Windows Defender 

Windows Defender 是 Windows 7 自 带 的 防护 软件 ,主要 用 于 防护 间谍 软件 .木马 和 
广告 软件 等 。Windows Defender 通过 软件 更 新 更 新 病毒 库 。 

(1) 启动 Windows Defender 

通过 “开始 ”>“ 控 制 面板 ”操作 过 程 打 开 “ 控 制 面板 ”, 在 “查看 方式 ”中 选择 “小 图 标 ” 
选项 ,弹出 如 图 3. 8 所 示 的 所 有 控制 面板 项 ,双击 Windows Defender 可 以 启动 Windows 
Defender。 


Ezy 妨 锅 (FE) ”查看 (V) 工具 (T) 帮助 (H) 


调整 计算 机 的 设置 查看 方式 小 国标 ” 


向 BitLocker 驱动 器 jn 窗 加 rlash plyer 著 Intel(R) GMA Driver for Mobile 
Internet 选项 Nero BurnRights 是 RemoteApp 和 点 面 连 接 
图 windows cardspace 网 Windows Defender 时 Windows Update 

办 windows 防火 培 国 windows 移动 中 心 

Pafho 

溜 相册 

地名 

加 外 入 

图 ataPo 

鸣 ayB 和 时 间 

恤 疝 和 打印 机 

太一 有 顶 

外 网络 和 共 京 中心 


国 半 Sr(R) PROSew 无 线 I 具 
全 winsl 硬 点 下 小 I 具 
用 误 体 











图 3.8 所 有 控制 面板 项 


(2) 扫描 计算 机 系统 

启动 Windows Defender 后 ,弹出 如 图 3.9 所 示 的 Windows Defender 界面 , 单 击 “ 扫 
描 ? 选 项 卡 旁 边 的 箭头 打开 ”扫描 ? 选 项 ,根据 需要 选择 “快速 扫描 区 完全 扫描 2 和”* 自 定义 
扫描 ”选项 。 

快速 扫描 : 只 扫描 上 一 次 完全 扫描 后 生成 的 新 文件 和 间谍 软件 可 能 藏身 的 文件 。 快 
速 扫描 只 需 很 短 的 时 间 即 可 完成 。 一 般 在 进行 完全 扫描 后 的 一 段 时 间 内 ,通过 快速 扫描 
维持 计算 机 系统 的 安全 。 

完全 扫描 : 扫描 硬盘 中 的 每 一 个 文件 。 完 全 扫描 是 最 彻底 的 扫描 方式 ,但 需要 花费 
较 长 的 时 间 , 为 了 计算 机 系统 的 安全 ,需要 定期 进行 完全 扫描 。 

自 定义 扫描 : 可 以 由 用 户 选择 需要 扫描 的 驱动 器 和 文件 夹 ,是 最 自主 的 扫描 方式 。 

扫描 结束 后 ,如 果 表 明 没 有 检测 到 不 需要 的 软件 , 则 计算 机 运行 正常 。 如 果 列 出 全 部 
可 疑 软 件 , 则 这 些 可 疑 软件 被 Windows Defender 自动 隔离 ,根据 其 可 能 存在 的 危害 程 
度 ,分 为 严重 、 高 中、 低 和 无 法 分 类 。 用 户 可 以 选择 删除 可 疑 软 件 列表 中 的 其 中 几 项 , 删 
除 过 程 如 下 : 选中 需要 删除 的 可 疑 软件 , 单 击 “ 删 除 ”按钮 。 
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图 3.9 Windows Defender 


(3) 查看 历史 记录 

单 击 “ 历 史记 录 ” 选 项 卡 ,弹出 如 图 3. 10 所 示 的 “历史 记录 ”界面 ,该 界面 清楚 地 表明 
了 被 检测 出 病毒 的 文件 ,以 及 这 些 文件 被 执行 的 操作 。Windows Defender 根据 检测 出 的 
病毒 的 危害 程度 ,将 这 些 被 检测 出 病毒 的 文件 的 警报 级 别 分 为 严重 、 高 ,中 、 低 和 无 法 分 类 
5 类 。 














四 有 耳 于 防止 有 害 的 软件 和 加 能 不 需要 的 软件 的 传 瑞 ,加 入 Microsoft SpyNet 
对 程序 所 采取 的 操作 (P): 














名 称 a 执行 的 殷 作 日 期 状态 

国 BrowserModifercwin32/kipid-， 高 [2 2017/10/23 星 则 一 。 轴 到 误 
辐 BrowserModiferWin32/Qiwm.， 高 名 2017/10/23 星期 一 .。 成 功 
过 到 的 错误 : 


代码 0x80070002。 系统 找 不 到 描 定 的 文件 . 

















图 3.10 历史 记录 
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(4) 配置 可 选项 


Q@ 自动 扫描 。 单 击 “ 工 具 ” 选 项 卡 ,弹出 如 图 3. 11 所 示 的 Windows Defender* 工 具 和 设 
置 ?界面 , 单 击 * 选 项 ?按钮 ,弹出 如 图 3. 12 所 示 的 “选项 ”界面 。 在 左 栏 中 选择 “自动 扫描 ”， 
右 栏 中 弹出 有 关 自 动 扫描 的 选项 ,根据 需要 选中 各 个 选项 并 选择 选项 值 ,如 图 3. 12 所 示 。 
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图 3.11 Windows Defender 工具 和 设置 









































图 3.12 设置 自动 扫描 选项 


信息 安全 实用 教程 


@ 启动 实时 保护 


实时 保护 可 以 监测 运行 程序 的 行为 .扫描 下 载 的 文件 和 邮件 中 的 附件 。 实 时 保护 可 
以 避免 下 载 包含 间谍 软件 的 文件 .打开 包含 间谍 软件 的 邮件 附件 和 安装 间谍 软件 。 启 动 
实时 保护 如 图 3. 13 所 示 ,根据 需要 选择 扫描 选项 。 
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园 使 用 实时 保护 ( 扒 荐 XIN) 
运 择 要 运行 的 安全 代理 。 了 解 幸 村 保护 
同 扫 后 下 载 的 文件 和 附件 (W) 














国 扫 摘 在 我 的 计算 机 上 运行 的 种 序 (P) 














图 3.13 启动 实时 保护 


@@ 高 级 选项 配置 


“高 级 选项 ”界面 如 图 3. 14 所 示 ,该 界面 的 作用 : 一 是 可 以 选择 扫描 的 文件 类 型 和 驱 
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站 三 在下 子 邦 件 的 内 容 或 附件 二 扫 扩 要 讲 软 件 或 不 雪 要 的 软件 . 
Se 回 提 近 可 关 动 入 动 基 (M) 


团 售 用 启发 (H) 


国 他 建 下 原点 R) 


















在 存 村 文件 00 ZIP 或 CA8) 中 扫 入 李 章 软件 或 不 雪 要 的 软件 . 


在 柯 效 汉 动 器 如 US8 内 让 至 动 者) 的 内 容 中 扫 窒 亚 章 软件 或 不 雪 要 的 软件 - 


过 过 查看 与 友 个 现 有 定义 考分 匹配 芍 项目， 检 油 地 章 次 伯 或 不 雪 要 的 软件 - 


在 于 恰 光 3 项 目 应 用 各 作 之 疝 ,创建 一 个 还 原点 - 














图 3.14 


高 级 选项 
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动 器 类 型 ;二 是 可 以 选择 是 否 启 动 启发 性 扫描 和 检测 方式 ,一旦 启动 启发 性 扫描 和 检测 方 
式 , 只 需 部 分 匹配 特征 ,就 可 判断 间谍 软件 ,这 种 扫描 和 检测 方式 用 于 识别 变形 间谍 软件 ; 
三 是 可 以 选择 创建 还 原点 。 如 果 对 计算 机 系统 进行 了 错误 操作 , 则 可 以 将 计算 机 系统 恢 

管理 员 选 项 可 以 选择 启动 或 关闭 Windows Defender, 以 及 是 否 列 出 所 有 用 户 的 隔离 
项 允许 项 等 。“ 管 理 员 选项 ”界面 如 图 3. 15 所 示 。 





Wl WindowsDifender ®” lol®| 到 





国 使 用 此 程序 (U) 


启用 该 设置 时 ,如果 间 泽 软件 或 其 他 可 能 不 雪 要 的 软件 坛 图 在 计算 机 上 运行 或 自我 安装 ， 
则 此 程序 将 向 所 有 用 户 发 出 警报 . 


回 显示 来 各 此 计算 机 的 所 有 用 户 的 项 目 (D) 
启用 此 设置 时 ， 此 程序 格 允 许 您 查看 来 各 所 有 用 户 的 “历史 记录 ”、 “允许 的 项 目 " 和 


” 网 高 的 项 目 ”， 默 认 情 况 下 会 陷 茂 项 目 以 保护 用 户 隐私 . 






































图 3.15 管理 员 选 项 


3.3 ”病毒 监控 技术 


病毒 监控 技术 用 于 实时 监控 程序 运行 过 程 中 执行 的 操作 ,一 旦 发 现 该 程序 的 执行 可 
能 危害 计算 机 系统 的 操作 , 则 暂停 该 操作 ,并 向 用 户 示 警 , 以 此 控制 病毒 程序 可 能 对 计算 
机 系统 造成 的 危害 。 用 户 账户 控制 (User Account Control, UAC) 是 Windows 7 的 一 种 
安全 机 制 , 用 于 实时 监控 程序 运行 过 程 中 执行 的 操作 。 
33.1 基于 行为 的 检测 技术 

病毒 为 了 激活 .感染 其 他 文件 .对 系统 实施 破坏 操作 ,需要 对 系统 中 的 文件 .注册 表 、 
引导 扇 区 及 内 存 等 系统 资源 进行 操作 ,这 些 操作 通常 由 操作 系统 内 核 中 的 服务 模块 完成 ， 


因此 , 当 某 个 用 户 进程 发 出 修改 注册 表 中 的 自 启动 项 列表 ,格式 化 文件 系统 、 删 除 某 个 系 
统 文件 的 操作 请 求 时 ,可 以 认为 该 用 户 进程 正在 实施 病毒 代码 要 求 完 成 的 操作 。 
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为 了 检测 某 个 用 户 进程 是 否 正在 执行 病毒 代码 ,可 以 为 不 同安 全 等 级 的 用 户 配置 资 
源 访问 权限 ,用 权限 规定 每 一 个 用 户 允 许 发 出 的 请 求 类 型 .访问 的 资源 种 类 及 访问 方式 ， 
病毒 检测 程序 常 驻 内 存 , 截 获 所 有 对 操作 系统 内 核发 出 的 资源 访问 请 求 ,确定 发 出 请 求 的 
用 户 及 安全 等 级 ,要 求 访问 的 资源 及 访问 模式 ,然后 根据 为 该 安全 等 级 用 户 配 置 的 资源 访 
问 权 限 检 测 请 求 中 要 求 的 操作 的 合法 性 ,如 果 请 求 中 要 求 的 资源 访问 操作 违背 为 发 出 请 
求 的 用 户 规定 的 访问 权限 , 则 表明 该 用 户 进程 可 能 包含 病毒 代码 ,病毒 检测 程序 可 以 对 该 
用 户 进程 进行 干预 并 以 某 种 方式 示警 。 

基于 行为 的 检测 技术 可 以 检测 出 变形 病毒 和 未 知 病毒 ,但 也 存在 以 下 缺陷 : 一 是 由 
于 在 执行 过 程 中 检测 病毒 ,检测 到 病毒 时 有 可 能 已 经 执行 部 分 病毒 代码 ,已 经 执行 的 这 部 
分 病毒 代码 有 可 能 已 经 对 系统 造成 危害 ;二 是 由 于 很 难 区 分 正常 和 非 正常 的 资源 访问 操 
作 ,无 法 为 用 户 精 确 配 置 资 源 访 问 权限 ,常常 发 生 漏 报 和 误 报 病毒 的 情况 。 


332 基于 模拟 运行 环境 的 检测 技术 


模拟 运行 环境 是 一 个 软件 仿真 系统 ,用 软件 仿真 处 理 器 文件 系统 、 网 络 连接 系统 等 ， 
该 环境 与 其 他 软件 系统 隔离 ,其 仿真 运行 结果 不 会 对 实际 物理 环境 和 其 他 软件 运行 环境 
造成 影响 。 

模拟 运行 环境 需要 事先 建立 已 知 病毒 的 操作 特征 库 和 资源 访问 原则 ,病毒 的 操作 特 
征 是 指 病毒 实施 感染 和 破坏 时 需要 完成 的 操作 序列 ,如 修改 注册 表 中 “启动 项 目 ” 列 表 所 
需要 的 操作 序列 ,变形 病毒 感染 可 执行 文件 需要 的 操作 序列 ( 读 可 执行 文件 修改 可 执行 
文件 .加 密 可 执行 文件 、 写 可 执行 文件 ) 等 。 资 源 访问 原则 用 于 指定 正常 资源 访问 过 程 中 
进行 的 资源 访问 操作 。 

当 基于 线索 的 检测 技术 怀疑 某 个 可 执行 文件 或 文本 文件 感染 病毒 时 ,为 了 确定 该 可 
执行 文件 或 文本 文件 是 否 包含 病毒 ,在 模拟 运行 环境 中 运行 该 可 执行 文件 或 文本 文件 ,并 
对 每 一 条 指令 的 执行 结果 进行 分 析 。 如 果 发 生 某 种 病毒 的 操作 特征 时 ,如 修改 注册 表 某 
个 特定 键 的 值 或 者 发 生 违背 资源 访问 原则 的 资源 访问 操作 , 则 确定 该 可 执行 文件 或 文本 
文件 感染 病毒 。 如 果 直 到 整个 代码 仿真 执行 完成 ,都 没有 发 生 和 操作 特征 库 匹 配 或 违背 
资源 访问 原则 的 资源 访问 操作 , 则 断定 该 文件 没有 感染 病毒 。 由 于 整个 代码 的 执行 过 程 
都 在 模拟 运行 环境 下 进行 ,所 以 执行 过 程 不 会 对 系统 的 实际 物理 环境 和 其 他 软件 的 运行 
环境 产生 影响 。 
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1. 主机 安全 卫士 

安全 卫士 的 主要 功能 是 监控 程序 的 运行 过 程 , 当 某 个 用 户 进 程 发 出 修改 注册 表 中 * 局 
动 项 目 ” 列 表 、 格 式 化 文件 系统 、 删 除 某 个 系统 文件 的 操作 请 求 时 ,可 以 认为 该 用 户 进程 正 
在 实施 病毒 代码 要 求 完成 的 操作 ,安全 卫士 将 弹出 示警 信息 ,由 用 户 确 认 后 完成 更 改 系统 
设置 的 操作 。 当 然 , 实 际 的 安全 卫士 可 能 具有 其 他 管理 计算 机 系统 的 功能 ,如 计算 机 体 
检 、 木 马 查 杀 、 系 统 修复 、 优 化 加 速 等 。 常 见 的 国内 安全 卫士 软件 有 360 安全 卫士 百度 安 
全 卫士 等 。 
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2. 手机 安全 卫士 


智能 手机 本 身 是 一 个 完整 的 计算 机 系统 ,因此 ,手机 安全 卫士 的 部 分 功能 与 主机 安全 
卫士 是 相似 的 ,如 手机 体检 、 木 马 查 杀 、 优 化 加 速 等 ,但 手机 安全 卫士 有 着 以 下 针对 手机 特 
有 的 安全 威胁 的 安全 功能 。 

(1) 拦截 垃圾 短信 

手机 安全 卫士 具有 举报 垃圾 短信 功能 。 如 果 用 户 接收 到 垃圾 短信 ,可 以 举报 该 垃圾 
短信 ,手机 安全 卫士 后 台 云 端 将 记录 与 所 有 被 举报 的 垃圾 短信 有 关 的 信息 ,如 发 送 号 码 、 
短信 关键 词 等 。 手 机 安全 卫士 具有 示警 垃圾 短信 功能 。 当 用 户 接收 到 短信 时 ,手机 安全 
卫士 首先 将 该 短信 的 发 送 号 码 和 短信 关键 词 发 送 给 云端 ,一 旦 发 送 号 码 和 短信 关键 词 与 
云端 存储 的 某 个 被 举报 的 垃圾 短信 相同 ,手机 安全 卫士 将 给 出 提示 信息 。 用 户 确认 是 垃 
圾 短信 后 ,该 短信 的 发 送 号 码 和 关键 词 将 自动 进入 手机 安全 卫士 的 短信 黑 名单 。 用 户 可 
以 手工 配置 手机 安全 卫士 的 短信 黑 名 单 。 手 机 安全 卫士 将 自动 拦截 所 有 与 短信 黑 名 单 匹 
配 的 短信 。 

(2) 拦截 骚扰 电话 

手机 安全 卫士 后 台 云 端 记录 与 所 有 被 举报 的 骚扰 电话 有 关 的 信息 ,如 主 叫 号 码 等 ,一 
且 手 机 接收 到 呼叫 连接 请 求 , 且 主 叫 号 码 与 云端 存储 的 某 个 被 举报 的 骚扰 电话 相同 ,手机 
安全 卫士 就 给 出 提示 信息 。 用 户 确认 是 骚扰 电话 后 ,该 电话 的 主 叫 号 码 将 自动 进入 手机 
安全 卫士 的 电话 黑 名 单 。 手 机 安全 卫士 能 够 检测 某 些 特征 明显 的 骚扰 电话 ,如 * 响 一 声 ” 
来 电 , 自 动 将 这 些 来 电 的 主 叫 号 码 加 入 疑似 骚扰 电话 列表 ,用 户 可 以 将 这 些 来 电 的 主 叫 号 
码 导 入 手机 安全 卫士 的 电话 黑 名单 。 用 户 可 以 手工 配置 手机 安全 卫士 的 电话 黑 名 单 。 手 
机 安全 卫士 将 自动 拦截 所 有 与 电话 黑 名单 匹 配 的 来 电 。 


(3) 杀毒 
手机 安全 卫士 一 般 兼 具 手 机 杀毒 软件 的 功能 ,可 以 查 杀 手机 中 的 病毒 。 
(4) 流量 监控 


手机 安全 卫士 针对 每 一 个 软件 统计 流量 ,用 于 发 现 感染 病毒 的 软件 进行 的 恶意 扣 费 
活动 。 手 机 安全 卫士 一 般 也 可 以 对 每 一 个 软件 设置 流量 阔 值 ,以 防 发 生 重 大 恶意 扣 费 
事件 。 

(5) 隐私 保护 

手机 安全 卫士 具有 保护 手机 中 隐私 信息 的 功能 ,可 以 对 指定 的 隐私 信息 进行 加 密 ,并 
指定 密码 。 以 后 读 取 隐 私信 息 时 ,必须 手工 输入 密码 。 隐 私信 息 可 以 是 指定 号 码 发 送 的 
短信 ,将 某 个 号 码 发 送 的 短信 指定 为 隐私 信息 后 ,一 旦 接收 到 该 号 码 发 送 的 短信 ,手机 安 
全 卫士 首先 对 其 进行 加 密 。 用 户 手 工 输入 密码 后 ,才能 读 取 该 短信 内 容 。 

3. Windows 7 UAC 

(1) UAC 功能 

用 户 账户 控制 (User Account Control, UAC) 是 Windows 7 中 用 于 保障 主机 系统 安 
全 的 机 制 , 它 具 有 以 下 安全 功能 : 一 是 对 账户 分 类 ,不 同类 型 的 账户 具有 不 同 的 操作 计算 
机 的 权限 ,用 相应 账户 登录 的 用 户 具 有 该 账户 对 应 的 权限 ;二 是 只 允许 用 管理 员 账户 登录 
的 用 户 和 在 具有 管理 员 权限 的 运行 环境 下 运行 的 程序 更 改 系 统 设置 ;三 是 为 避免 错误 操 
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作 , 只 要 用 户 和 程序 进行 更 改 系 统 设置 的 操作 , Windows 7 将 弹出 示警 信息 ,由 用 户 确 认 
后 完成 更 改 系 统 设置 的 操作 。 

(2) UAC 工作 机 制 

有 些 选项 旁边 有 “盾牌 ”标记 ,如 图 3.16 所 示 的 “更 改 用 户 账户 控制 设置 "选项 ,选择 
这 些 选项 的 用 户 必须 具有 管理 员 权 限 , 如 果 某 个 用 标准 用 户 账户 登录 的 用 户 选 中 旁边 有 
“盾牌 ”标记 的 选项 , 则 弹出 输入 管理 员 账 户 和 密码 的 对 话 框 ,除非 输入 正确 的 管理 员 账 户 
和 密码 ,否则 该 用 户 无 法 选择 该 选项 。 同 样 , 在 用 标准 账户 登录 的 环境 下 运行 的 程序 也 不 
能 更 改 系 统 设置 。 
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图 3.16 用 户 账户 设置 


用 具有 管理 员 权 限 账户 登录 的 用 户 选择 这 些 选项 时 ,不 会 弹出 输入 管理 员 账 户 和 密 
码 的 对 话 框 。 但 为 了 防止 用 具有 管理 员 权限 账户 登录 的 用 户 因为 误 操作 修改 系统 设置 ， 
可 以 通过 设置 用 户 账 户 控制 使 在 具有 管理 员 权限 的 用 户 更改 系 统 设置 时 同样 弹出 警示 信 
息 , 用 户 确定 需要 更 改 相 应 系统 设置 时 ,通过 单 击 “是 ”按钮 完成 更 改 操作 。 如 果 是 用 户 因 
为 误 操作 选择 该 选项 , 则 可 以 通过 单 击 “ 否 "按钮 终止 更 改 操作 。 

通过 设置 用 户 账户 控制 使 在 具有 管理 员 权 限 的 运行 环境 下 运行 的 某 个 程序 更 改 系统 
设置 时 同样 弹出 警示 信息 ,在 用 户 确认 后 ,才能 允许 该 程序 完成 更 改 操作 ,以 此 防止 病毒 
或 其 他 恶意 软件 通过 更 改 系 统 设置 对 计算 机 系统 实施 破坏 操作 。 

(3) UAC 配置 

完成 “控制 面板 ”>“ 用 户 账户 和 家 庭 安全 ”>“ 用 户 账户 ”操作 过 程 ,弹出 如 图 3. 16 所 
示 的 “用 户 账户 ?设置 界面 。 单 击 * 更 改 用 户 账户 控制 设置 选项 ,弹出 如 图 3. 17 所 示 的 
“用 户 账户 控制 设置 "界面 ,通过 拖 动 游标 可 以 在 “始终 通知 “默认 ”“ 不 变 暗 屏 幕 ? 和 “从 不 
通知 ”四 个 选项 中 选择 其 中 一 个 选项 。 

始终 通知 : 一 旦 用 户 或 运行 的 程序 更 改 系 统 设置 ,UAC 便 弹 出 警示 信息 ,同时 变 暗 
屏幕 ,用 户 通过 选择 “是 ”或 “ 否 ” 继 续 或 终止 更 改 操 作 。 
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图 3.17 用 户 账户 控制 设置 


默认 : 只 有 当 运 行 的 程序 更 改 系统 设置 时 ,UAC 才 弹 出 警示 信息 ,同时 变 暗 屏幕 ,用 
户 通过 选择 “是 ”或 “ 否 ” 继 续 或 终止 更 改 操 作 。 用 户 更 改 系 统 设置 时 不 再 弹出 警示 信息 。 

不 变 暗 屏幕 : 该 选项 与 默认 选项 相同 ,只 是 弹出 警示 信息 时 不 变 暗 屏幕 。 

从 不 通知 : 关闭 UAC, 用 户 和 运行 的 程序 更 改 系 统 设置 时 ,UAC 均 不 弹出 警示 信息 。 

值得 强调 的 是 ,UAC 对 通过 内 置 管理 员 账 户 登录 的 用 户 不 起 作用 ,这 也 是 慎 用 内 置 
管理 员 账 户 登录 的 原因 。 


3.4 应 用 程序 控制 策略 


病毒 是 一 段 恶意 代码 ,只 有 执行 后 才能 完成 感染 和 破坏 过 程 , 因 此 ,限制 程序 执行 也 
是 一 种 防御 病毒 的 机 制 。Windows 7 应 用 程序 控制 策略 (AppLocker) 可 以 为 每 一 个 用 户 
指定 允许 或 禁止 该 用 户 执行 的 程序 .Windows 安装 程序 和 脚本 ,因此 ,通过 精心 配置 应 用 
程序 控制 策略 可 以 限制 病毒 程序 的 运行 。 


341 配置 Application ldentity 服务 


Windows 的 每 一 个 服务 用 于 为 用 户 实现 特定 的 功能 ,Application Identity 服务 用 于 
实现 确定 并 验证 应 用 程序 标识 的 功能 ,该 功能 是 实现 应 用 程序 控制 策略 所 需要 的 。 将 
Application Identity 服务 的 启动 类 型 设置 为 自动 的 过 程 如 下 。 

完成 “开始 ”>“ 控 制 面板 ”操作 过 程 ,弹出 如 图 3. 18 所 示 的 查看 方式 为 "类别 ?的 “ 控 
制 面板 ”界面 。 单 击 “ 系 统 和 安全 ”选项 ,弹出 如 图 3. 19 所 示 的 “系统 和 安全 ”界面 。 单 击 
“管理 工具 ”选项 ,弹出 如 图 3. 20 所 示 的 “管理 工具 ”界面 。 双 击 “ 服 务 ” 选 项 ,弹出 如 图 3. 21 
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。 MN 人 检查 计算 机 的 状 去 并 解 问题 | 加 更 改 用 户 几 控制 设置 | 第 见 计算 机 问 时 托 难 如 答 
= 将 计算 机 还 原 到 一 个 较量 的 于 间 点 
硬件 和 声音 Windows 防火 墙 
和 检 间 防火 过 状态 | 允许 程序 通过 Windows 防火 过 
用 户 账 户 和 家 庭 安全 系统 
外 现 和 人 性 化 查看 RAM 的 大 小 和 处理 器 这 度 | 检查 Windows 体验 指 败 内 多 许 远程 访问 
网 各 而 而 和 区 志 理 春 这 计算 机 的 包谷 | 鸭 设 备 管理 器 
既 松 访问 Windows Update 
目 用 或 和 用 自动 更 新 检查 更 新 | 查看 已 安村 的 更 新 
电源 选项 
及 旺 计算 机 时 委 要 宅 码 | 更 改 电 源 壹 租 的 功能 | 更 改 计算 机 是 纶 时 间 
备份 和 还 原 
备份 和 的 计算 机 | 从 备份 还 原文 件 
BitLocker 驱动 器 加 密 
计算 机 | 管理 BitLocker 
管理 工具 
条 放 西 本 全 间 | 对 硕 生 进行 研 片 天 旦 | 鸭 创建 并 格式 化 硕 埋 分 区 | 国 查 看 训 件 日 志 
四 HH 
Flash Player 





图 3.19 系统 和 安全 
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图 3.20 管理 工具 
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图 3.21 服务 
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所 示 的 “服务 ”界面 。 默认 配置 下 , Application Identity 服务 的 启动 类 型 是 手动 。 双 击 
Application Identity 选项 ,弹出 如 图 3. 22 所 示 的 “Application Identity 的 属性 ”界面 ,将 
“启动 类 型 ”由 “手动 ” 改 为 “自动 ”, 单 击 “ 确 定 ” 按 钮 ,完成 Application Identity 服务 配置 
的 过 程 。Application Identity 服务 的 启动 类 型 将 由 手动 改 为 自动 ,如 图 3. 23 所 示 。 重 新 


启动 系统 后 ,系统 自动 启动 Application Identity 服务 。 





常规 








服务 名 称 : AppIlSve 
显示 名 称 : Application ITdentity 


指 述 : 


可 执行 文件 的 路 径 





C: MWindons\systen32\svehost. exe -k LocalServiceAndNoInpersor 








启动 类 型 CD) [自动 












































服务 状态 : 已 停止 
[ES [全 rm ][ 交 售 9) ] (恢复) 
当 从 此 处 启动 服务 时 ， 您 可 指定 所 适用 的 启动 参数 。 
启动 参数 0) 
LE ][ R 消 _ [LE 用 W 











图 3.22 “Application Identity 的 属性 ”界面 
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图 3.23 ”Application Identity 服务 启动 类 型 改 为 自动 
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342 配置 应 用 程序 控制 策略 


通过 配置 应 用 程序 控制 策略 的 可 执行 规则 、Windows 安装 程序 规则 和 脚本 规则 ,可 
以 解决 以 下 问题 。 

。 每 一 个 用 户 可 以 运行 哪些 应 用 程序 。 

。 哪些 用 户 允 许 运行 脚本 。 

。 哪些 用 户 允 许 安装 新 的 软件 。 

。 允许 运行 哪 一 个 版 本 的 应 用 程序 。 

下 面 以 禁止 用 户 userA 执行 可 执行 文件 Microsoft Office 2010 PowerPoint. exe 为 例 
讨论 应 用 程序 控制 策略 的 配置 过 程 。 

配置 应 用 程序 控制 策略 的 过 程 如 下 。 完 成 “开始 ”一 “运行 ”操作 过 程 ,弹出 如 
图 3. 24 所 示 的 “运行 "界面 ,在 “打开 ”输入 框 中 输入 组 策略 编辑 命令 gpedit. msc, 单 击 “ 确 
定 ” 按 钮 ,弹出 如 图 3. 25 所 示 的 “本 地 组 策略 编辑 ”界面 。 完 成 计算 机 配置 下 Windows 
设置 ">“ 安 全 设置 ">“ 应 用 程序 控制 策略 ”>“AppLocker” 操 作 过 程 ,弹出 如 图 3. 26 所 
示 的 AppLocker 配置 界面 。AppLocker 下 可 以 配置 可 执行 规则 、Windows 安装 程序 规则 
和 上 脚本 规则 。 可 执行 规则 用 于 控制 用 户 执行 后 级 名 为 exe 和 com 的 可 执行 文件 。 
Windows 安装 程序 规则 用 于 控制 用 户 执 行 后 级 名 为 msi 和 msp 的 Windows 安装 文件 ， 
脚本 规则 用 于 控制 用 户 执 行 后 级 名 为 js、psl、vbs、cmd 和 bat 的 脚本 。 





加 Windows 格 根据 您 所 奸 入 的 名 称 ， 为 您 打开 相应 的 程序 、 
文件 夫 、 文档 或 Internet 资源 . 


打 F(O): gpedit msc 3 
图 使 用 管理 权限 创建 此 任务 





蕊 古山 | [ame- 














3.24 “运行 "界面 


如 果 需 要 配置 可 执行 规则 , 则 通过 右 击 “ 可 执行 规则 ”, 弹 出 如 图 3. 27 所 示 的 可 执行 
规则 配置 菜单 , 单 击 “创建 新 规则 ”按钮 ,弹出 如 图 3. 28 所 示 的 “创建 可 执行 规则 ?界面 , 界 
面 中 给 出 创建 新 规则 开始 前 需要 了 解 的 信息 。 单 击 " 下 一 步 "按钮 ,弹出 如 图 3. 29 所 示 的 
“权限 ”界面 ,可 以 在 “允许 ”和 “拒绝 ”这 两 种 权限 中 选择 一 种 。 这 里 选择 “拒绝 ”, 因 此 , 选 
中 “拒绝 ”选项 。 

默认 的 用 户 或 用 户 组 是 Everyone, 即 选中 的 权限 对 所 有 用 户 起 作用 。 如 果 选 中 的 权 
限 只 对 某 个 特定 用 户 起 作用 , 则 单 击 “选择 "按钮 ,弹出 如 图 3. 30 所 示 的 “选择 用 户 或 组 ” 
界面 。 单 击 “ 高 级 ”按钮 ,弹出 如 图 3. 31 所 示 的 “选择 用 户 或 组 ”界面 , 单 击 “ 立 即 查 找 ” 按 
钮 ,搜索 结果 中 列 出 所 有 的 用 户 和 用 户 组 ,在 搜索 结果 中 单 击 userA 选中 用 户 userA, 单 
击 “ 确 定 ” 按 钮 ,完成 用 户 userA 选择 过 程 ,如 图 3. 32 所 示 。 可 以 依次 选择 多 个 用 户 。 完 
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图 3.25 本 地 组 策略 编辑 
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图 3.27 可 执行 规则 配置 菜单 
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此 司 大 由 人 过 APPLocker 规则 。 规 出 汉 于 文件 量 给 8 文人 区 字 答 各 中 外 谤 的 文 此 区 
和 布 )。 


和 
ea 
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Applodker XE 























图 3.28 创建 可 执行 规则 
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图 3.29 权限 配置 
选择 用 户 或 组 9 吧 
选择 此 对 象 类 型 S) 
用 户 或 组 四 象 类 : 
查找 位 置 中) 
ADMIN-PC 位 置 0),.。 


输入 要 选择 的 对 象 名 称 人 tb0) 到 ) 








[本 
图 3.30 选择 用 户 或 组 
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查找 位 置 p): 





ADMTIN-PC 
一 般 性 查询 

















名 称 ): [起 格 为 


列 吕 ) 





摘 术 0) [起 女 为 二 
口 禁 用 的 账户 B) 
口 不 过 期 密码 0 


自 上 次 登录 后 的 天 数 吕 ) 








立即 查找 0 


停止 Cr) 


匈 














搜索 结果 (J) 








确定 ] [取消 














名 称 DD) 所 在 文件 夹 
兄 Ts_mnsIS ADMIN-PC 
存 metvork 5 ， ADDFEC 
号 Fertorman .， ADNIN-PC 
号 ?ertorman ADDFEC 
是 ?over Users ADITFEC 
网 Renote De ADDFEC 
Replicator 。 ADIDIFPC 
userh ADNTN-PC 
Users ADMIN-PC 








图 3.31 查找 用 户 或 组 
























































选择 用 户 或 组 | 3 
Wi 

用 户 或 组 对 象 类 型 0) 
查找 位 置 人 ) 

ADNTIN-PC 位 置 0.). 
输入 要 选择 的 对 象 名 称 (830) 到 ) 

[TS EE 

高 级 以. 确定 取消 
es 























图 3.32 用 户 或 用 户 组 选择 结果 


成 用 户 选择 过 程 后 单 击 “ 确 定 ” 按 钮 ,完成 新 规则 用 户 或 用 户 组 选择 的 过 程 。 这 里 表明 新 
规则 只 对 用 户 userA 起 作用 ,如 图 3. 33 所 示 。 

单 击 “ 下 一 步 "按钮 ,弹出 如 图 3. 34 所 示 的 “条 件 ? 界 面 ,可 以 通过 三 种 条 件 指定 可 
执行 文件 ， 发 布 者 条 件 ? 通 过 指定 为 软件 签名 的 发 布 者 来 指定 可 执行 文件 .“ 路 径 条 
件 ” 通 过 指定 存储 可 执行 文件 的 路 径 来 指定 可 执行 文件 。“ 文 件 哈 希 ”通过 指定 可 执行 
文件 的 报 文摘 要 (文件 哈 希 ) 来 指定 可 执行 文件 。 一 般 情况 下 ,如果 可 执行 文件 是 由 发 
布 者 签名 的 ,推荐 使 用 发 布 者 条 件 。 如 果 采 用 路 径 条 件 , 则 只 要 改变 可 执行 文件 的 存 


储 路 径 ,新 规则 将 不 起 作用 。 勾 选 * 发 布 者 ”后 , 单 击 * 下 一 步 "按钮 ,弹出 如 


图 3. 35 所 





示 的 指定 可 执行 文件 的 界面 , 单 击 * 浏 览 "按钮 ,在 本 地 计算 机 系统 中 指定 可 执行 文件 ， 
这 里 是 Microsoft Office 2010 PowerPoint. exe。 当 滑动 条 到 底 时 ,指定 可 执行 文件 的 条 
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有 关 疯 则 Rg 洋 经 信息 














3.33 ”完成 用 户 选 择 后 的 界面 





天 各 创建 的 二 要 条 件 Ex 主 ) 


© EU) 
知 时 关 相 为 其 人 当红 的 应用 生字 已 季 软 件 必 布 者 各， 则 这 所 屠 更. 


© BEA) 
蜀 定 立 付 于 文件 实 入 各 胡 于 扣 则 、 各 时 流 村 六 伯 夫 。 则 夫 时 六 富安 中 的 
有 村 


© HR 
加 昌 关 和 为 大 条 扣 丘 作 序 人 建 疯 则 ,刚直 至 此 于 


有 关 规 则 全 件 和 并 经 信息 






































图 3.34 条 件 配置 


件 同时 包括 发 布 者 、 产 品名 、 文 件 名 和 文件 版 本 ,向 上 移动 滑动 条 到 文件 名 时 ,如 
图 3. 36 所 示 , 指 定 可 执行 文件 的 条 件 只 包括 发 布 者 、 产 品名 和 文件 名 , 即 所 有 版 本 的 
PowerPoint. exe 文件 都 符合 指定 可 执行 文件 的 条 件 。 当 滑动 条 上 移 到 产品 名 时 ,指定 
可 执行 文件 的 条 件 只 包括 发 布 者 和 产品 名 , 即 所 有 属于 Microsoft Office 2010 的 可 执行 
文件 都 符合 指定 可 执行 文件 的 条 件 , 以 此 类 推 。 这 里 指定 可 执行 文件 的 条 件 只 包括 发 
布 者 、 产 品名 和 文件 名 。 

单 击 “ 下 一 步 ” 按 钮 ,弹出 如 图 3. 37 所 示 的 “例外 ”界面 。 例 外 用 于 在 符合 指定 可 执行 








CNProgram Fles\Microsof Office\OFice IA\POWERS MB}. 
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图 3.35 指定 可 执行 文件 的 界面 





现 且 已 和 多 广 作 以 有 ff 观 风 条 雪 ， 生 同和 纪 还 作 和 用 各 拓 性 来 定义 和 ; 内 下 陀 2 ， 弄 则 尝 
支柱 更 后 体 。 当 得 纪 们 二 任何 发 布 位 置 9j ， 烦 册 将 地 用 于 所 有 和 全文 作 


六 作 
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=MICROSOFT CORPORATION L=REDMONC 


MICROSOFT OFICE 2010 
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用 于 宫 于 帮 才 和 的 共有 如 名 和 HX 作乱 和 有 有 六 伯 . 



































3.36 滑动 条 上 移 到 文件 名 的 界面 


文件 条 件 的 可 执行 文件 中 去 掉 一 些 特 殊 的 可 执行 文件 。 进 入 例外 列表 中 的 可 执行 文件 等 
同 于 不 符合 指定 可 执行 文件 条 件 的 可 执行 文件 。 如 果 没 有 例外 的 可 执行 文件 , 则 单 击 “下 
一 步 ?按钮 ,弹出 如 图 3. 38 所 示 的 “名 称 和 描述 ”界面 ,可 以 通过 描述 框 输入 对 新 规则 的 一 
些 描 述 。 单 击 “ 创 建 "按钮 ,完成 新 规则 创建 过 程 ,创建 新 规则 后 的 可 执行 规则 如 图 3. 39 
所 示 ,操作 为 “允许 ”的 三 条 规则 是 默认 规则 。 新 规则 禁止 用 户 userA 运行 可 执行 文件 
Microsoft Office 2010 PowerPoint. exe。 

切换 到 userA, 运 行 Microsoft Office 2010 PowerPoint. exe, 弹 出 如 图 3. 40 所 示 的 
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有 头 人 建 现 则 gx 的 评 生 时 


























图 3.37 例外 配置 





答 入 印 称 SRIt 则 ， 


SM 


POWERPNT.EXE ,在 MICROSOFT OFFICE 2010 中 ,守重 O02MICROSOFT COR 
将 过 [Ex 多 





























图 3.38 显示 “名 称 和 描述 ” 
“阻止 可 执行 文件 运行 警告 "界面 ,表明 组 策略 禁止 用 户 userA 运行 Microsoft Office 2010 
PowerPoint. exe。 
343 应 用 程序 控制 策略 的 防 病毒 应 用 
1. 定制 应 用 环境 


对 于 安全 性 要 求 很 高 的 计算 机 系统 ,可 以 为 每 一 个 用 户 定制 应 用 环境 ,该 应 用 环境 
中 ,除了 允许 用 户 运 行 的 可 执行 文件 外 ,禁止 其 他 一 切 可 执行 文件 的 运行 。 可 以 设置 一 条 
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用户 名 称 条 件 例外 
Everyone 位 于 program Files 文件 夫 中 的 所 有 文 -。 路 径 


Everyone ( 菇 认 规 则 ) 位 于 Windows 文件 夹 中 的 .。 路 径 
BUILTINWd~， 味 认 规则 所 有 文件 路 径 
admin-PCW-。 POWERPNT.EXE , 在 MICROSOFT O.-。 发 布 者 

















图 3.40 阻止 可 执行 文件 运行 警告 


“禁止 一 切 可 执行 文件 运行 的 可 执行 规则 ,通过 该 规则 的 例外 配置 添加 允许 用 户 运行 的 
可 执行 文件 。 

2. 控制 程序 安装 过 程 

病毒 程序 常常 通过 安装 过 程 实施 隐藏 ,并 将 自己 添加 为 自 启 动 项 。 通 过 设置 
Windows 安装 程序 规则 ,严格 控制 计算 机 系统 允许 进行 的 安装 过 程 ,以 此 防止 病毒 程序 
完成 安装 过 程 。 

3. 控制 脚本 运行 过 程 

大 量 病毒 是 脚本 病毒 ,可 以 通过 设置 脚本 规则 ,严格 控制 脚本 运行 过 程 ,以 此 阻止 脚 
本 病毒 运行 。 


本 章 小 结 
。 病毒 是 计算 机 面临 的 最 大 威胁 。 


。 应 从 三 方面 着 手 防御 病毒 , 即 预防 病毒 植 和 人 、 清 除 植 入 病毒 和 控制 病毒 实施 的 破 
坏 活动 。 
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预防 病毒 植 人 需要 用 户 养 成 良好 的 使 用 计算 机 和 上 网 的 习惯 。 

可 以 用 杀毒 软件 清除 植 人 计算 机 系统 中 的 病毒 。 

可 以 用 安全 卫士 实时 监控 程序 运行 过 程 中 执行 的 操作 。 

Windows Defender 是 Windows 自 带 的 杀毒 软件 。 

UAC 是 Windows 的 一 种 安全 机 制 ,用 于 实时 监控 程序 运行 过 程 中 执行 的 操作 。 
应 用 程序 控制 策略 可 以 限制 可 执行 文件 .Windows 安装 程序 和 脚本 运行 过 程 , 以 
此 阻止 病毒 程序 运行 。 


习 题 


列 出 常见 的 寄生 病毒 类 型 。 

何 为 病毒 植 人 ? 列 出 几 种 植 人 病毒 的 方法 。 

病毒 程序 如 何 实现 第 一 次 运行 过 程 ? 第 一 次 运行 过 程 需要 完成 哪些 工作 ? 
简 述 病毒 的 作用 过 程 。 

简 述 基于 特征 的 扫描 技术 的 特点 。 

简 述 基于 线索 的 扫描 技术 的 特点 。 

简 述 基于 完整 性 检测 的 扫描 技术 的 特点 。 

简 述 基于 行为 的 检测 技术 的 特点 。 

简 述 基于 模拟 运行 环境 的 检测 技术 的 特点 。 


oo 四 四 上 虽 虽 于 


.10 简 述 Windows Defender 的 杀毒 功能 。 
.11 简 述 UAC 监控 程序 运行 过 程 中 执行 的 操作 的 过 程 。 
.12 简 述 应 用 程序 控制 策略 在 防 病毒 方面 的 作用 。 


女生 4 竟 


无 线 通 信安 全 技术 


随 着 移动 互联 网 的 广泛 应 用 ,移动 终端 已 经 成 为 人 们 最 常 使 用 的 网 络 终端 。 移动 终 
端 采用 无 线 通信 方式 与 互联 网 交换 数据 ,无 线 局 域 网 和 移动 通信 网 络 是 移动 终端 最 常用 
的 采用 无 线 通信 方式 的 网 络 。 因 此 ,掌握 无 线 局 域 网 和 移动 通信 网 络 的 安全 机 制 是 实现 
无 线 通信 安全 的 基础 。 


4.1 无 线 通 信 基 础 


无 线 通信 (Wireless Communication) 是 一 种 利用 电磁 波 在 自由 空间 的 传播 实现 终端 
之 间 数 据 传输 过 程 的 通信 方式 。 无 线 局 域 网 和 移动 通信 网络 是 最 常用 的 采用 无 线 通信 方 
式 的 网 络 。 由 于 数据 传输 速率 与 信号 的 带宽 成 正比 ,因此 ,用 于 实现 数据 传输 的 电磁 波 通 
常 是 位 于 微波 频段 的 电磁 波 。 


411 无 线 通信 定义 


无 线 通信 (Wireless Communication) 是 一 种 利用 电磁 波 在 自由 空间 的 传播 实现 终端 
之 间 数 据 传输 过 程 的 通信 方式 。 

实现 电磁 波 在 自由 空间 的 传播 需要 由 变化 的 电场 在 邻近 区 域 激 发 变化 的 磁场 , 青 由 
变化 的 磁场 在 较 远 区 域 激 发 新 的 变化 的 电场 ,这 种 激发 由 近 及 远 \ 不 断 继续 下 去 的 过 程 就 
是 电磁 波 的 传播 过 程 。 电 磁 波 的 主要 特征 参数 有 频率 、 初 始 相位 和 功率 ,这 一 点 和 按 正弦 
或 余弦 变化 的 模拟 信号 相同 。 实 际 上 ,电磁波 发 射 装置 就 是 通过 在 天 线 上 产生 按 正弦 或 
余弦 变化 的 电流 激发 变化 的 电场 ,并 因此 产生 电磁 波 。 


412 电磁 波 频谱 


电磁 波 的 传播 速度 在 真空 中 等 于 光速 c, 由 于 将 电磁 波峰 值 之 间 的 距离 定义 为 波长 ， 
由 此 可 以 得 出 波长 和 频率 了 之 间 的 关系 式 : fX4==c。 

用 电磁 波 传输 数据 需要 完成 调制 解 调 过 程 。 调 制 过 程 是 将 数据 转换 成 电磁 波 的 过 
程 。 解 调 过 程 是 从 电磁 波 中 还 原 出 数据 的 过 程 。 数 据 传输 速率 取决 于 电磁 波 的 波 特 率 和 
调制 技术 。 由 于 电磁 波 的 波 特 率 和 信和 号 带宽 成 正比 ,因此 ,要 想得到 较 高 的 数据 传输 速 
率 , 表 示 二 进 制 位 流 的 电磁 波 必须 有 较 高 的 带宽 。 电 磁 波 的 频谱 如 图 4. 1 所 示 , 由 于 只 有 
处 于 高 频段 的 电磁 波 才 有 可 能 获得 较 高 带宽 ,而且 调 制 后 的 表示 二 进 制 位 流 的 电磁 波 是 
以 载波 信号 频率 为 中 心 频率 的 带 通信 号 ,因此 ,利用 电磁 波 进行 数据 传输 时 ,常常 用 处 于 
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高 频段 的 电磁 波 作为 载波 信号 。 
F(Hz) 100 102 10% 10% 108 100 102 104 106 108 100 102 1024 
无 线 电 | 微波 “| 红外 线 | | | x 射线 1 射线 
/ 
可 见 光 ”紫外 线 
图 4.1 电磁 波 频谱 


紫外 线 对 人 体 有 害 ,X 射线 和 7 射线 对 生物 有 很 大 的 杀伤 性 ,这 些 频段 的 电磁 波 不 能 
作为 载波 信号 ,因此 ,可 用 作 载 波 信 号 的 电磁 波 的 频率 应 在 紫外 线 以 下 。 电 磁 波 的 频率 越 
高 ,其 传播 特性 越 接 近 可 见 光 ,而 可 见 光 的 直线 传播 特性 会 对 使 用 无 线 通信 的 终端 的 布置 
带 来 很 大 限制 ,因此 ,无 线 通信 常 采 用 微波 段 中 的 电磁 波 作为 载波 信号 ,以 此 使 得 调制 后 
的 表示 二 进 制 位 流 的 电磁 波 是 位 于 微波 段 的 带 通信 号 。 


413 无 线 数据 传输 过 程 


无 线 数据 传输 过 程 如 图 4. 2 所 示 ,发 送 终端 需要 发 送 的 二 进 制 位 流 经 过 发 送 终端 连 
接 的 收发 器 调制 后 转化 成 以 载波 信号 频率 为 中 心 频率 的 带 通信 号 , 带 通信 号 经 过 天 线 发 
射 后 ,成 为 在 自由 空间 传播 的 电磁 波 。 该 电磁 波 在 自由 空间 传播 需要 占据 频段 ,该 频段 是 
以 载波 信号 频率 为 中 心 频 率 的 带 通信 号 的 频率 宽度 。 电 磁 波 到 达 接 收 终端 连接 的 收发 器 
后 ,在 天 线 中 感应 出 带 通信 号 ,接收 终端 连接 的 收发 器 从 带 通信 号 中 还 原 出 二 进 制 位 流 ， 
将 二 进 制 位 流传 输 给 接收 终端 ,完成 二 进 制 位 流 发 送 终端 至 接收 终端 的 传输 过 程 。 实 际 
应 用 中 ,收发 器 、 天 线 和 终端 往往 集成 在 一 个 设备 中 ,如 智能 手机 ,安装 无 线 网 卡 的 笔记 本 
计算 机 等 。 

带 通信 号 激发 的 电磁 波 
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图 4.2 无 线 数据 传输 过 程 


无 线 数据 传输 过 程 中 ,两 个 终端 之 间 传 播 的 电磁 波 需要 占据 某 个 频段 ,该 频段 称 为 两 
个 终端 之 间 的 无 线 信道 。 由 于 在 该 电磁 波 传播 范围 内 不 能 有 其 他 信号 源 发 射 的 与 该 频段 
重奏 的 电磁 波 , 因 此 ,发 送 终端 独占 该 无 线 信道 。 如 果 多 个 终端 共享 某 个 无 线 信道 , 即 多 
个 终端 使 用 相同 的 频段 进行 数据 传输 过 程 , 当 某 个 终端 通过 无 线 信道 发 射电 磁 波 时 ,在 该 
电磁 波 传播 范围 内 不 能 有 其 他 终端 通过 该 无 线 信道 发 射电 磁 波 。 这 一 点 与 连接 多 个 终端 
的 总 线 型 以 太 网 相似 。 

任何 两 个 终端 之 间 只 有 存在 无 线 信道 ,才能 进行 数据 传输 过 程 , 即 两 个 终端 之 间 只 有 
占据 一 段 电磁 波 频段 ,两 个 终端 之 间 才 能 进行 无 线 数据 传输 过 程 。 


Se/ 信息 安全 实用 教程 


414 无 线 通信 应 用 


1. 移动 通信 网 络 

习惯 上 将 实现 移动 语音 通信 的 无 线 蜂窝 网 络 称 为 移动 通信 网 络 , 如 图 4. 3 所 示 。 手 
机 将 通过 麦克 风 接 收 到 的 模拟 语音 信号 转换 成 二 进 制 位 流 , 然 后 将 二 进 制 位 流转 换 成 电 
磁 波 ,经 过 手机 与 基站 之 间 的 无 线 信道 完成 电磁 波 手机 至 基站 的 无 线 通信 过 程 。 同 样 , 手 
机 接收 到 基站 通过 无 线 信道 传播 的 电磁 波 后 ,从 电磁 波 中 还 原 出 二 进 制 位 流 , 青 将 二 进 制 
位 流 还 原 成 模拟 语音 信号 ,通过 喇叭 传输 给 用 户 。 

2. 移动 互联 网 

移动 互联 网 是 移动 终端 与 互联 网 的 有 机 结合 。 移 动 互联 网 结构 如 图 4.4 所 示 , 笔 记 
本 计算 机 与 平板 电脑 通过 无 线 局 域 网 接 入 Internet, 智 能 手机 通过 无 线 局 域 网 或 者 通用 
分 组 无 线 业 务 (General Packet Radio Service,GPRS) 、3G、4G 等 无 线 数据 通信 网 络 接 人 
Internet。 无 线 局 域 网 与 无 线 数据 网 络 采用 无 线 通信 技术 。 
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记 
算 平板 电脑 智能 手机 
图 4.3 移动 通信 网 络 图 4.4 移动 互联 网 结构 





4.2 无 线 通信 的 开放 性 和 安全 问题 


频段 的 开发 性 和 空间 的 开放 性 使 得 任何 终端 可 以 接收 采用 无 线 通信 方式 传输 的 数 
据 , 从 而 无 法 保证 经 过 无 线 信道 传输 的 信息 的 保密 性 和 完整 性 。 接 和 人 控制, 加密 和 完整 性 
检测 是 解决 无 线 通信 安全 问题 的 基本 方法 。 


421 频段 的 开放 性 


1. 移动 通信 网 络 使 用 的 频段 

(1) GSM 频段 

全 球 移动 通信 系统 (Global System for Mobile Communication, GSM) 使 用 两 个 频 
段 ,分 别 是 GSM 900MHz 频段 和 GSM 1800MHz 频段 。GSM 900MHz 频段 的 上 行 频段 
为 890MHz 一 915MHz, 下 行 频段 为 935MHz 一 960MHz。 上 行 是 指 手机 至 基站 方向 ,下 
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421 频段 的 开放 性 


1. 移动 通信 网 络 使 用 的 频段 

(1) GSM 频段 

全 球 移动 通信 系统 (Global System for Mobile Communication, GSM) 使 用 两 个 频 
段 ,分 别 是 GSM 900MHz 频段 和 GSM 1800MHz 频段 。GSM 900MHz 频段 的 上 行 频段 
为 890MHz 一 915MHz, 下 行 频段 为 935MHz 一 960MHz。 上 行 是 指 手机 至 基站 方向 ,下 
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行 是 指 基 站 至 手机 方向 。 无 论 是 上 行 频段 还 是 下 行 频段 ,都 划分 为 多 个 无 线 信 道 。GSM 
1800MHz 频段 的 上 行 频段 为 1710MHz 一 1785MHz, 下 行 频段 为 1805MHz 一 1880MHz。 
由 于 同一 区 域内 存在 多 个 移动 通信 服务 商 , 如 中 国 移动 和 中 国联 通 ,需要 在 这 些 移动 通信 
服务 商 之 间 合 理 分 配 上 行 频段 和 下 行 频段 , 即 不 同 移动 通信 服务 商 的 上 行 频段 和 下 行 频 
段 之 间 不 能 重 又 。 

(2) 3G 频段 

目前 常用 的 第 三 代 移 动 通信 技术 (Third Generation, 3G) 标 准 有 WCDMA 和 
CDMA2000,WCDMA 的 上 行 频段 为 1940MHz 一 1955MHz, 下 行 频段 为 2130MHz 一 
2145MHz。CDMA2000 的 上 行 频段 为 1920MHz ~ 1935MHz, 下行 频 段 为 2110MHz 一 
2125MHz。 

2. 无 线 局 域 网 使 用 的 频段 

无 线 局 域 网 使 用 的 频段 基本 属于 ISM(Industrial Scientific and Medical) 频段 ,这 些 
频段 是 工业 .科学 和 医疗 所 使 用 的 电磁 波 频段 ,是 为 了 满足 公众 利用 无 线 电 进行 通信 的 需 
求 ,允许 公众 自由 使 用 的 开放 电磁 波 频段 ,图 4. 5 所 示 是 美国 开放 的 电磁 波 频段 ,大 多 数 
国家 都 与 此 兼容 。 

















26MHz 83.5MHz 125MHz 
频率 
902MHz 928MHz 2.4GHz 2.4835GHz 5.725GHz 5.850GHz 


图 4.5 美国 开放 的 电磁 波 频段 


无 线 局 域 网 使 用 的 电磁 波 频段 是 2. 401GHz 一 2. 483GHz、5. 15GHz 一 5. 35GHz 和 
5.725GHz 一 5.825GHz 这 三 个 频段 ,显然 ,5.15GHz 一 5. 35GHz 频段 并 不 完全 和 ISM 频 
段 兼容 ,是 专 为 无 线 局 域 网 开放 的 电磁 波 频段 。 无 线 局 域 网 中 一 般 将 2. 401GHz 一 
2.483GHz 频段 简称 为 2. 4GHz 频段 ,将 5. 15GHz~5.35GHz 和 5.725GHz~5. 825GHz 
这 两 个 频段 简称 为 5GHz 频段 。 

利用 标准 和 开放 的 电磁 波 频段 进行 无 线 通信 ,意味 着 任何 能 够 接收 这 些 频段 的 电磁 
波 的 无 线 电 设备 都 能 接收 用 于 实现 数据 通信 的 电磁 波 ,并 根据 无 线 通信 的 调制 解 调 原 理 
还 原 出 数据 。 


422 空间 的 开放 性 


无 线 通信 方式 下 ,电磁 波 在 自由 空间 传播 ,电磁 波 的 传播 范围 取决 于 发 射 时 的 电磁 波 
能 量 。 某 个 发 射 装置 所 发 射 的 电磁 波 的 传播 范围 如 图 4. 6 所 示 , 任 何 处 于 该 电磁 波 传播 
范围 内 的 接收 设备 都 能 接收 到 该 发 射 装置 所 发 射 的 电磁 波 。 

电磁 波 具有 穿 透 性 ,因此 ,电磁 波 不 会 局 限于 某 个 物理 空间 内 ,如 办 公 大 楼 。 某 个 单 
位 在 进行 无 线 通信 时 使 用 的 电磁 波 很 可 能 传播 到 该 单位 外 ,导致 外 部 人 员 无 须 进 入 该 单 
位 也 能 接收 到 该 单位 无 线 通信 时 使 用 的 电磁 波 。 空 间 的 开放 性 使 得 大 量 非 授权 人 员 可 以 
方便 地 嗅 探 经 过 无 线 信道 传输 的 数据 。 


Ne/ 信息 安全 实用 教程 








Wis 册 z 


接收 装置 .- 
电磁 波 传播 范围 - 


图 4.6 电磁 波 传播 过 程 





423 开放 性 带 来 的 安全 问题 和 解决 思 


1. 安全 问题 

频段 开放 性 和 空间 开放 性 会 带 来 以 下 安全 问题 。 

(1) 信道 干扰 

无 线 局 域 网 使 用 的 ISM 频段 划分 为 多 个 信道 ,每 一 个 基本 服务 集 (Basic Service Set， 
BSS) 或 独立 基本 服务 集 (Independent BSS,IBSS) 使 用 其 中 一 个 信道 ,如 果 相 邻 BSS 使 用 
的 信道 之 间 存 在 频率 重 倒 问题 ,就 会 引发 信道 干扰 。 

由 于 许多 其 他 的 无 线 设 备 也 采用 ISM 频段 ,因此 ,无 线 局 域 网 与 这 些 无 线 设 备 之 间 
也 很 容易 引发 信道 干扰 。 

由 于 移动 通信 网 络 和 无 线 局 域 网 采用 的 频段 是 标准 的 、 公 开 的 ,因此 ,黑客 很 容易 通 
过 发 射 相同 频段 的 噪声 信号 实现 信道 干扰 。 

(2) 嗅 探 和 流量 分 析 

由 于 电磁 波 传播 范围 内 的 无 线 终端 均 可 以 接收 电磁 波 , 并 还 原 出 电磁 波 表示 的 数据 ， 
因此 ,位 于 某 个 终端 的 电磁 波 传播 范围 内 的 任何 其 他 终端 均 可 接收 该 终端 发 送 的 数据 。 
由 此 可 见 ,无 线 通信 很 容易 实现 嗅 探 攻击 ,并 通过 嗅 探 攻击 获得 的 信息 完成 流量 分 析 
过 程 。 

(3) 重 放 攻 击 

当 某 个 终端 通过 嗅 探 攻击 获得 另 一 个 终端 发 送 的 数据 后 ,可 以 通过 延迟 一 段 时间 重 
发 或 多 次 重 发 该 数据 实施 重 放 攻击 。 

(4) 数据 自 改 

黑客 终端 可 以 通过 ARP 欺骗 攻击 截获 终端 A 发 送 给 终端 B 的 媒体 接 入 控制 
(Medium Access Control, MAC) 帧 ,对 MAC 帧 中 的 数据 实施 自 改 ,并 将 自 改 后 的 MAC 
帧 转发 给 终端 B。 

(5) 伪造 AP 

BSS 中 的 移动 终端 首先 与 接 人 点 (Access Point, AP) 建 立 关联 ,而 且 , 发 送 给 同一 
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BSS 内 其 他 终端 的 MAC 帧 和 发 送 给 属于 其 他 BSS 的 终端 的 MAC 帧 必须 由 AP 完成 转 
发 过 程 。 因 此 ,黑客 可 以 伪造 一 个 AP, 伪 造 的 AP 可 以 与 该 AP 电磁 波 传播 范围 内 的 移 
动 终 端 建立 关联 ,并 使 得 这 些 移 动 终端 发 送 的 MAC 帧 都 经 过 伪造 的 AP, 从 而 使 得 黑客 
可 以 截获 这 些 移动 终端 发 送 的 MAC 帧 。 

(6) 伪造 基站 

移动 通信 网 络 中 的 手机 首先 需要 接 人 某 个 基站 ,在 接 和 人 某 个 基站 过 程 中 ,手机 会 发 送 
一 些 用 于 表明 手机 身份 的 标识 信息 。 因 此 ,黑客 可 以 伪造 一 个 基站 ( 称 为 伪 基 站 ), 伪 基站 
一 方面 可 以 窃取 手机 的 身份 标识 信息 , 另 一 方面 可 以 向 手机 发 送 大 量 欺诈 短信 。 

2. 解决 思路 

(1) 接 入 控制 

有 线 网 络 (如 以 太 网 ) 存 在 物理 接 入 过 程 , 某 个 终端 接 入 以 太 网 时 ,必须 用 线 线 ( 通 党 
是 双 绞 线 电缆 ) 连 接 以 太 网 交换 机 端口 和 终端 ,因此 ,可 以 通过 控制 物理 连接 过 程 对 终端 
接 入 以 太 网 过 程 实施 控制 。 同 时 ,通过 鉴别 机 制 对 接 入 终端 的 身份 进行 鉴别 ,保证 只 有 授 
权 终 端 才 能 通过 以 太 网 发 送 或 接收 数据 。 但 对 于 如 图 4. 3 所 示 的 移动 通信 和 网络 和 如 
图 4.7 所 示 的 由 AP 组 成 的 BSS, 电 磁 波 自由 传播 的 特性 使 得 任何 处 于 基站 或 AP 电磁 
波 传播 范围 内 的 终端 都 能 与 基站 或 AP 进行 通信 。 





图 4.7 基本 服务 集 


解决 上 述 问题 的 思路 是 对 无 线 终端 实施 接 人 控制 ,保证 只 有 授权 终端 才能 与 基站 或 
AP 进行 通信 。 

移动 通信 网 络 中 ,存在 手机 接 人 基站 的 过 程 , 接 人 过 程 中 ,由 基站 完成 对 手机 的 身份 
鉴别 过 程 , 基 站 只 人 允许 接 人 授权 手机 。 

为 了 在 无 线 局 域 网 中 实现 鉴别 机 制 ,首先 必须 使 终端 和 AP 之 间 有 一 个 类 似 以 太 网 
建立 物理 连接 过 程 的 虚拟 连接 建立 过 程 ,AP 在 建立 和 终端 之 间 的 虚拟 连接 后 ,必须 对 接 
和 人 终端 的 身份 进行 鉴别 ,以 此 保证 只 有 授权 终端 才能 和 AP 进行 通信 。 

为 了 避免 伪造 AP 或 基站 的 情况 发 生 , 要 求 采取 双向 身份 鉴别 过 程 ,手机 与 基站 , 终 
端 与 AP 只 有 在 完成 双向 身份 鉴别 过 程 后 才能 相互 通信 。 

(2) 加 密 

电磁 波 自由 传播 的 特性 使 得 任何 一 个 位 于 发 送 端 电 磁 波 传播 范围 内 的 终端 都 能 接收 
发 送 端 发 送 的 表示 数据 的 电磁 波 ,因此 ,如 果 不 对 通过 无 线 信道 传输 的 数据 进行 加 密 ,将 
无 法 保证 数据 的 保密 性 。 
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解决 上 述 问 题 的 思路 是 加 密 手 机 与 基站 授权 终端 与 AP 之 间 交 换 的 数据 ,保证 只 有 
拥有 密 钥 的 手机 和 基站 、 授 权 终 端 和 AP 才能 还 原 出 明文 ,以 此 保证 手机 与 基站 、 授 权 终 
端 与 AP 之 间 交 换 的 数据 的 保密 性 。 

(3) 完整 性 检测 

手机 与 基站 、 授 权 终端 与 AP 之 间 交 换 的 数据 可 以 被 黑客 终端 截获 、 自 改 ,因此 ,无 线 
通信 无 法 保证 手机 与 基站 ,授权 终端 与 AP 之 间 交 换 的 数据 的 完整 性 。 

解决 上 述 问题 的 思路 是 对 手机 与 基站 授权 终 端 与 AP 之 间 交 换 的 数据 进行 完整 性 
检测 ,通过 完整 性 检测 机 制 保证 手机 与 基站 ,授权 终端 与 AP 之 间 交 换 的 数据 的 完整 性 。 


4.3 移动 通信 网 络 安全 机 制 


无 线 通信 的 安全 机 制 不 外 乎 接 和 人 控制 ,加密 和 完整 性 检测 , 接 和 人 控制 的 基础 是 身份 鉴 
别 。GSM 只 具有 单 向 身份 鉴别 和 加 密 安 全 机 制 。3G 具有 双向 身份 鉴别 .加 密 和 完整 性 
检测 安全 机 制 。 


43.1 GSM 安 全 机 制 


1. 注册 过 程 

购买 智能 手机 后 ,需要 选择 一 家 移动 通信 服务 提供 商 ( 如 中 国 移动 和 中 国联 通 ) 进 行 
注册 ,完成 注册 后 ,移动 通信 服务 提供 商 向 智能 手机 用 户 提 供用 户 身份 识别 卡 
(Subscriber Identity Module,SIM) ,SIM 中 包含 用 户 身 份 标识 信息 和 身份 鉴别 与 加 密 时 
使 用 的 算法 。 主 要 内 容 如 下 。 

。 国际 移动 用 户 识别 码 (International Mobile Subscriber Identification Number， 

IMSI) 。 

。 128 位 长 度 的 身份 鉴别 密 钥 Ki 。 

。 身份 鉴别 算法 A3 和 加 密 密 钥 生 成 算法 A8。 

同样 ,完成 注册 后 ,移动 通信 服务 提供 商 在 称 为 归属 位 置 寄存 器 (Home Location 
Register,HLR) 的 注册 用 户 身份 信息 库 中 为 该 注册 用 户 建立 一 项 记录 ,核心 内 容 与 用 户 
SIM 中 包含 的 内 容 相似 ,主要 有 IMSI、Ki .身份 鉴别 算法 A3 和 加 密 密 钥 生成 算法 A8 等 。 

值得 强调 的 是 ,分 配给 用 户 的 IMSI 是 全 球 唯一 的 ,用 于 唯一 标识 用 户 身 份 。K; 是 保 
密 的 ,只 存在 于 SIM 和 称 为 归属 位 置 寄存 器 (HLR) 的 注册 用 户 身 份 信息 库 中 。 用 户 通 过 
证 明 自 己 拥有 ;来 证 明 自 己 是 IMSI 标识 的 用 户 。 

2. 身份 鉴别 过 程 

讨论 如 图 4. 8 所 示 的 身份 鉴别 过 程 前 , 先 说 明 两 点 : 一 是 为 简化 起 见 ,图 4. 8 中 的 基 
站 还 包括 移动 通信 网 络 的 其 他 构件 ,如 归属 位 置 寄存 器 (HLR) 等 ;二 是 手机 往往 需要 多 
次 接 入 同一 基站 ,因此 ,为 避免 发 生 因为 多 次 传输 IMSI 造成 IMSI 被 黑客 截获 的 情况 ,在 
第 一 次 接 入 某 个 基站 时 ,由 该 基站 为 手机 分 配 一 个 临时 移动 用 户 识别 码 (Temporary 
Mobile Subscriber Identification Number,TMSD ,并 同时 建立 IMSI 与 TMSI 之 间 映 射 。 
TMSI 是 该 基站 用 于 唯一 标识 该 手机 的 临时 移动 用 户 识别 码 。 
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如 图 4. 8 所 示 ,由 手机 发 起 身份 鉴别 过 程 ,向 基站 发 送 TMSI。 基 站 接收 到 手机 发 送 
的 TMSI 后 ,完成 以 下 操作 。 基站 

@ 基站 根据 TMSI 与 IMSI 之 间 的 映射 获取 IMSI。 

@ 用 IMSI 检索 HLR, 获 取 该 IMSI 关联 的 K;'、.A3 和 


AS, TMSI 
@ 生成 128 位 随机 数 RAND。 RAND 
@ 计算 出 32 位 SRES',SRES'=A3(K;',RAND)。 SRES 





@ 计算 出 64 位 加 密 密 钥 Ke', Kc' 二 A8(K;',RAND)。 

@@ 向 手机 发 送 RAND。 

手机 接收 到 RAND 后 ,将 RAND 传输 给 SIM, 由 SIM 完成 以 下 操作 。 

O 计算 出 32 位 SRES,SRES= A3(Ki,RAND)。 

@ 计算 出 64 位 加 密 密 钥 Ke ,Kc==A8(K;,RAND)。 

由 手机 将 SRES 发 送 给 基站 ,基站 接收 到 手机 发 送 的 SRES 后 ,比较 SRES 与 
SRES' ,如 果 SRES 二 SRES', 则 表示 Ki=K 。 由 IMSI 标识 的 手机 身份 得 到 确认 。 

手机 完成 注册 后 ,手机 SIM 中 的 IMSI 和 Ki; 与 移动 通信 网络 的 HLR 中 的 IMSI 和 
Ki 将 IMSI 与 K; 关 联 在 一 起 。 手 机 证 明 自 己 由 IMSI 标识 的 身份 的 唯一 办 法 是 向 移动 通 
信和 网 络 证 明 自 己 拥有 与 该 IMSI 关联 的 Ki。 手 机 不 能 通过 向 移动 通信 网 络 发 送 Ki 证 明 
自己 拥有 Ki ,因为 这 样 做 很 容易 让 黑客 截获 经 过 无 线 信道 传输 的 Ki 。 图 4. 8 所 示 的 鉴别 
过 程 既 能 证 明 手 机 拥有 Ki; ,又 不 需要 手机 向 移动 通信 网 络 发 送 K;。 

保证 上 述 身份 鉴别 过 程 有 效 的 前 提 有 两 个 : 一 是 由 于 手机 与 基站 之 间 以 明文 方式 传 
输 RAND 和 SRES, 因 此 ,A3 算法 必须 保证 即使 截获 有 限 对 RAND 和 SRES, 也 不 能 通 
过 有 限 对 RAND 和 SRES 推导 出 K;; 二 是 每 一 次 身份 鉴别 过 程 中 HLR 生成 的 随机 数 
RAND 都 是 不 同 的 。 

保密 Ki 是 保证 手机 安全 接 入 移动 通信 网 络 的 关键 ,实际 操作 过 程 中 ,SIM 中 的 K; 是 
无 法 读 出 的 ,而 且 ,移动 通信 网络 的 操作 人 员 也 无 法 从 HLR 中 读 取 Ki ,因此 ,Ki 的 保密 性 
是 有 保障 的 。 

3. 加 密 传输 过 程 

完成 手机 身份 鉴别 过 程 后 ,SIM 和 HLR 分 别 生成 加 密 密 钥 Kc 和 Kc ,只 要 Ki 一 Ki ， 
则 Kce=Ke'。 

GSM 采用 流 密码 体制 ,每 一 次 加 密 过 程 采用 不 同 的 一 次 性 密 钥 。 发 送 端 加 密 过 程 如 
图 4. 9 所 示 ,发 送 端 将 64 位 的 对 称 密 钥 Kc 和 22 位 的 帧 序号 Fn 作为 算法 A5 的 输入 ,A5 
的 输出 是 与 明文 长 度 相同 的 一 次 性 密 钥 ,该 一 次 性 密 钥 与 明文 逐 位 异 或 运算 的 结果 就 是 
加 密 后 的 密 文 。 接 收 端的 解密 过 程 如 图 4. 9 所 示 ,接收 端 同样 将 64 位 的 对 称 密 钥 Kc 和 
22 位 的 帧 序号 Fn 作为 算法 A5 的 输入 .A5 的 输出 是 与 密 文 长 度 相 同 的 一 次 性 密 钥 ,该 
一 次 性 密 钥 与 密 文 逐 位 异 或 运算 的 结果 就 是 解密 后 的 明文 。 由 于 每 一 次 加 密 解 密 过 程 中 
A5 的 输入 是 相同 的 ,因此 ,产生 的 一 次 性 密 钥 也 是 相同 的 。 

由 于 不 同 帧 的 帧 序号 是 不 同 的 ,因此 ,加 密 不 同 帧 中 数据 的 一 次 性 密 钥 也 是 不 同 的 ， 
以 此 保证 加 密 传 输 过 程 中 不 会 重复 使 用 一 次 性 密 钥 。 


图 4.8 身份 鉴别 过 程 
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图 4.9 加 密 解密 过 程 


由 于 每 一 次 接 人 过 程 有 不 同 的 随机 数 RAND, 所 以 每 一 次 接 入 过 程 有 着 不 同 的 加 密 
密 钥 Kc ,因此 ,加 密 密 钥 Kc 的 安全 性 是 有 保障 的 。 

4. 安全 缺陷 和 伪 基站 

GSM 的 安全 缺陷 主要 有 两 点 : 一 是 采用 单 向 身份 鉴别 机 制 , 即 只 有 基站 对 手机 进行 
的 身份 鉴别 过 程 , 没 有 手机 对 基站 进行 的 身份 鉴别 过 程 , 导 致 伪 基 站 危害 的 发 生 ; 二 是 没 
有 完整 性 检测 机 制 ,接收 端 无 法 检测 出 数据 传输 过 程 中 发 生 的 算 改 。 

伪 基 站 通过 发 送 较 强 的 信号 吸引 手机 接 入 。 身 份 鉴别 阶段 中 , 伪 基 站 在 接收 到 手机 
发 送 的 任何 鉴别 响应 消息 后 ,都 向 该 手机 发 送 身份 鉴别 成 功 消息 。 如 图 4. 10(a) 所 示 , 吸 
引 手 机 接 入 的 过 程 中 ,通过 反复 向 手机 发 送 识别 请 求 ,使 手机 认为 基站 无 法 识别 TMSI， 
导致 手机 向 伪 基 站 发 送 IMTI。 完 成 身份 鉴别 过 程 后 , 伪 基 站 可 以 向 手机 发 送 任意 短信 ， 
如 图 4.10(b) 所 示 。 


手机 伪 基 站 手机 伪 基 站 











识别 请 求 发 送 短信 
TMSI 短信 接收 确认 
识别 请 求 
IMSI 
(a) 伪 基 站 获取 IMSI 过 程 (b) 伪 基站 发 送 短信 过 程 


图 4.10 伪 基站 的 危害 


值得 说 明 的 是 ,在 语言 通信 过 程 中 ,加 密 是 必须 的 。 在 发 送 短信 过 程 中 ,加 密 是 可 选 
的 ,由 基站 决定 。 而 伪 基站 通常 不 会 选择 加 密 传 输 短信 的 方式 。 


432 3G 安 全 机 制 


GSM 是 第 二 代 移 动 通信 网 络 (2G), 通 用 移动 通信 系统 (Universal Mobile 
Telecommunications System, UMTS) 是 基于 GSM 发 展 而 成 的 第 三 代 移 动 通信 网 络 
(3G)。UMTS 克服 了 GSM 单 向 身份 鉴别 和 缺乏 数据 完整 性 检测 的 安全 缺陷 ,提供 双向 
身份 鉴别 .数据 加 密 和 数据 完整 性 检测 等 安全 机 制 。 

1. 注册 过 程 

手机 用 户 完成 注册 后 ,获得 全 球 用 户 识别 卡 (Universal Subscriber Identity Module， 
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USIM) ,USIM 中 含有 各 种 函数 ,函数 名 称 和 功能 如 表 4. 1 所 示 ,除了 实现 不 同 功能 的 各 
种 函数 以 外 ,USIM 还 包含 如 下 信息 。 


表 4.1 函数 名 称 和 功能 描述 











函数 名 称 功能 描述 函数 名 称 功能 描述 
fl 鉴别 信息 生成 函数 {4 完整 性 检测 密 钥 生成 函数 
f2 挑战 响应 生成 函数 {5 匿名 密 钥 生成 函数 
{3 加 密 密 钥 生成 函数 














。 国际 移动 用 户 识 别 码 (International Mobile Subscriber Identification Number， 
IMSI) 。 

。 128 位 长 度 的 身份 鉴别 密 钥 K;。 

同样 ,完成 注册 后 ,移动 通信 服务 提供 商 在 称 为 归属 位 置 寄存 器 (HLR) 的 注册 用 户 身 
份 信息 库 中 为 该 注册 用 户 建立 一 项 记录 ,其 核心 内 容 与 用 户 USIM 中 包含 的 内 容 相 似 。 

值得 强调 的 是 ,分 配给 用 户 的 IMSI 是 全 球 唯一 的 ,用 于 唯一 标识 用 户 身 份 。K; 是 保 
密 的 ,只 存在 于 USIM 和 称 为 归属 位 置 寄存 器 (HLR) 的 注册 用 户 身份 信息 库 中 。 由 于 Ki 
只 存在 于 USIM 和 称 为 归属 位 置 寄存 器 (HLR) 的 注册 用 户 身 份 信息 库 中 ,因此 ,用 户 和 
基站 分 别 通过 确定 对 方 是 否 拥有 Ki; 确定 对 方 的 身份 。 

USIM 中 的 Ki; 是 无 法 读 出 的 ,移动 通信 网 络 的 操作 人 员 也 无 法 从 HLR 中 读 取 Ki, 因 
此 ,Ki; 的 保密 性 是 有 保障 的 。 

2. 身份 鉴别 与 密 钥 协商 

UMTS 通过 身份 鉴别 与 密 钥 协商 (Authentication and Key Agreement, AKA) 机 制 


完成 双向 身份 鉴别 过 程 和 密 乌 协 商 过 程 。 协 商 产生 的 密 铀 基站 

分 别 是 用 于 加 密 数 据 的 加 密 密 铀 和 用 于 数据 完整 性 检测 的 

完整 性 检测 密 钥 。 图 类 
与 讨论 GSM 身份 鉴别 过 程 相似 ,一 是 为 简化 起 见 ， | TMSL .| 

图 4.11 中 的 基站 还 包括 移动 通信 网 络 的 其 他 构件 ,如 归属 |。 RAND,AUTN | 

位 置 寄存 器 (HLR) 等 。 二 是 由 于 手机 需要 多 次 接 入 同一 RES 











基站 ,因此 ,为 避免 发 生 因为 多 次 传输 IMSI 造成 IMSI 被 
黑客 截获 的 情况 ,在 第 一 次 接 入 某 个 基站 时 ,由 该 基站 为 手 
机 分 配 一 个 TMSI, 并 由 该 基站 建立 IMSI 与 TMSI 之 间 的 
映射 ,TMSI 是 该 基站 用 于 唯一 标识 该 手机 的 临时 移动 用 户 识别 码 。 

如 图 4. 11 所 示 , 由 手机 发 起 身份 鉴别 过 程 ,向 基站 发 送 TMSI。 基 站 接收 到 手机 发 
送 的 TMSI 后 ,完成 以 下 操作 。 

@ 基站 根据 TMSI 与 IMSI 之 间 的 映射 获取 IMSI。 

@ HLR 根据 IMSI 获取 该 IMSI 关联 的 信息 。 

@ HLR 生成 随机 数 RAND 和 序号 SQN, 序 号 用 于 防止 重 放 攻 击 , 因 此 ,每 一 次 
AKA 过 程 生成 的 序号 不 仅 不 同 ,而 且 是 不 断 增加 的 。 


图 4.11 身份 鉴别 与 密 钥 
协商 的 过 程 
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时 如 图 4. 12 所 示 , HLR 通过 函数 日 生成 鉴别 信息 MAC-A'==f1(RAND, SQN， 
AMF ,Ki) ,鉴别 管理 域 (Authenticated Management Field, AMF) 是 移动 服务 提供 商定 义 
的 相关 信息 。 通 过 函数 {2 生成 挑战 响应 RES' 二 {2(RAND,K;) ,通过 函数 f3 生成 加 密 密 
钥 CK' 二 {3(RAND,K;) ,通过 函数 {4 生成 完整 性 检测 密 钥 IK' 二 {4(RAND,K;), 通 过 函 
数 {5 生成 匿名 密 钥 AK'={5(RAND,K;),SRQ' 二 SRQ@®AK', 
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图 4.12 HLR 计算 鉴别 信息 和 密 钥 的 过 程 


@@ 基站 向 用 户 发 送 RAND 和 AUTN,AUTN=AMF | SRQ' | MAC-A'。 

手机 接收 到 基站 发 送 的 RAND 和 AUTN 后 ,由 USIM 完成 以 下 操作 。 

@ 从 AUTN 中 分 离 出 AMF SRQ' 和 MAC-A'。 

@ 如 图 4.13 所 示 ,USIM 通过 函数 f5 生成 匿名 密 钥 AK 二 f5(RAND,K;) ,通过 计算 
出 的 匿名 密 钥 AK 还 原 出 序号 SRQ=SRQ ' 申 AK。 判 别 接收 到 的 序号 SRQ 是 否 在 允许 
范围 内 ,如 果 不 在 允许 范围 内 , 则 判定 身份 鉴别 过 程 失败 。 
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4.13 ”USIM 计算 鉴别 信息 和 密 钥 的 过 程 


@ 如 图 4.13 所 示 , USIM 通过 函数 fl 生成 鉴别 信息 MAC-A==f1(RAND,SQN， 
AMF ,Ki)。 通 过 函数 f2 生成 挑战 响应 RES=f2(RAND,K;) ,通过 函数 f3 生成 加 密 密 钥 
CK 二 {3(RAND,K;), 通 过 函数 {4 生成 完整 性 检测 密 钥 IK={4(RAND,K;)。 

@ USIM 比较 MAC-A 和 MAC-A' ,如果 相 等 , 则 基站 身份 得 到 确认 ,否则 判定 身份 
鉴别 过 程 失败 。 

加 手机 向 基站 发 送 挑战 响应 RES。 

基站 接收 到 手机 发 送 的 挑战 响应 RES, 比 较 RES 和 RES' ,如果 RES=RES' , 则 手机 
的 身份 得 到 确认 ,否则 判定 身份 鉴别 过 程 失 败 。 
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保证 身份 鉴别 过 程 有 效 的 前 提 有 两 个 : 一 是 fl 函数 必须 保证 无 法 从 有 限 对 RAND、 
AMF 、SQN 和 MAC-A' 推 导出 身份 鉴别 密 钥 Ki; 二 是 f2 函数 必须 保证 无 法 从 有 限 对 
RAND 和 RES 推导 出 身份 鉴别 密 钥 K;。 

一 旦 成 功 完成 双向 身份 鉴别 过 程 , 则 表示 两 端的 完整 性 检测 密 钥 和 加 密 密 钥 相同 。 

3. 完整 性 检测 和 加 密 过 程 

(1) 完整 性 检测 

完整 性 检测 机 制 使 用 函数 f9 和 完整 性 检测 密 钥 IK, 函数 f9 的 功能 相当 于 散 列 消息 
鉴别 码 (Hashed Message Authentication Codes, HMAC) 算 法 ,输入 是 任意 长 度 的 消息 和 
固定 长 度 的 密 钥 , 输 出 是 固定 长 度 的 消息 鉴别 码 (Message Authentication Code, MAC)。 
如 图 4.14 所 示 ,MAC-I 二 f9x ( 帧 序号 ‖ 方 向 上 ‖ 随 机 数 ‖ 消息 ), 帧 序号 、 方 向 随机 数 和 
消息 都 是 需要 进行 完整 性 检测 的 内 容 。 其 中 帧 序号 是 数据 帧 携带 的 序号 ,发 送 端 每 发 送 
一 帧 数据 帧 , 帧 序号 增 1。 方 向 是 一 位 标志 位 ,用 于 表明 传输 方向 ,分 别 有 手 机 至 基站 和 
基站 至 手机 两 个 传输 方向 。 随 机 数 是 开始 传输 数据 前 ,由 基站 产生 并 发 送 给 手机 的 。 消 
息 是 发 送 端 传输 的 数据 。 MAC-I 是 32 位 MAC, 具 有 以 下 特征 : 一 是 计算 MAC-I 时 必须 
输入 完整 性 密 钥 IK; 二 是 只 要 帧 序号 方向、 随机 数 和 消息 发 生 改变 ,重新 计算 后 的 
MAC-I 也 发 生 改变 。 




















帧 序号 方向 随机 数 发 送 端 | 接收 端 
消息 | 
帧 序号 长 度 承载 业务 ! 帧 序号 长 度 承载 业务 
方向 下 | 方向 
| 
CK f8 MAC-I| 消息 CK f8 
+ 密 文 十 


























不 相等 ， 完 整 时 相等 ， 完 整 


性 检测 和 败 性 检测 成 功 
图 4.14 “完整 性 检测 和 加 密 的 过 程 


为 了 防止 重 放 攻 击 ,要 求 不 同 数据 帧 之 间 存在 区 别 。 不 同 数据 帧 之 间 通 过 帧 序号 、 随 
机 数 和 方向 产生 区 别 。 帧 序号 使 得 每 一 帧 数据 帧 的 序号 不 同 。 随 机 数 使 得 不 同 的 数据 帧 
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传输 阶段 对 应 不 同 的 随机 数值 。 方 向 使 得 不 同 传输 方向 的 数据 帧 有 着 不 同 的 方向 标志 。 
因此 ,即使 消息 和 IK 保持 不 变 , 产 生 有 着 相同 MAC-I 的 两 帧 数据 帧 的 概率 也 是 很 小 的 。 

函数 {9 必须 具有 报 文摘 要 算法 要 求 的 单 向 性 和 抗 碰撞 性 , 即 对 于 P 和 MAC 一 
f9(P) , 单 向 性 要 求 只 能 根据 P 求 出 MAC={f9(P) ,无 法 根据 MAC 推导 出 P。 抗 碰撞 性 
要 求 无 法 根据 P 找 出 P' , 且 P 坟 P' ,但 {9(P)==f9(P')。 

(2) 加 密 

函数 f8 用 于 生成 一 次 性 密 钥 , 它 的 输入 是 加 密 密 钥 CK、 帧 序号 、 承 载 业务 ,方向 和 一 
次 性 密 钥 长 度 。 输 出 是 长 度 等 于 明文 长 度 的 一 次 性 密 钥 。 流 密码 体制 的 安全 性 基于 两 个 
前 提 : 一 是 每 一 次 加 密 用 的 一 次 性 密 钥 都 不 同 ;二 是 每 一 次 加 密 用 的 一 次 性 密 钥 不 可 预 
测 。 因 此 ,为 了 尽 可 能 保证 流 密码 体制 的 安全 性 ,图 4. 14 所 示 的 一 次 性 密 钥 生成 过 程 在 
加 密 密 钥 CK 保持 不 变 的 前 提 下 ,必须 做 到 以 下 几 点 : 一 是 不 同 的 帧 序号 对 应 不 同 的 一 
次 性 密 钥 ,保证 加 密 每 一 帧 数据 帧 的 一 次 性 密 钥 都 不 同 ;二 是 用 5 位 承载 业务 表示 移动 通 
信和 网 络 当前 为 手机 提供 的 服务 类 型 ,不 同 的 承载 业务 对 应 不 同 的 一 次 性 密 钥 ,保证 为 不 同 
的 服务 类 型 生成 不 同 的 一 次 性 密 钥 集 ;三 是 不 同 传输 方向 对 应 不 同 的 一 次 性 密 钥 ,保证 为 
不 同 传输 方向 生成 的 不 同 的 一 次 性 密 钥 集 。 一 次 性 密 钥 长 度 = 消 息 长 度 十 MAC-I 长 度 。 
一 次 性 密 钥 与 由 消息 和 MAC-I 组 成 的 明文 逐 位 异 或 运算 的 结果 就 是 加 密 后 的 密 文 。 密 
文 与 相同 的 一 次 性 密 钥 逐 位 异 或 运算 的 结果 就 是 解密 后 的 明文 。 

(3) 发 送 端 和 接收 端 操作 过 程 

如 图 4. 14 所 示 ,发 送 端 将 当前 数据 帧 的 帧 序号 .与 接收 端 约定 的 当前 阶段 使 用 的 随 
机 数值 根据 传输 方向 (手机 至 基站 或 基站 至 手机 ) 得 出 的 方向 标志 值 消息 和 完整 性 密 钥 
IK 作为 函数 f9 的 输入 ,将 函数 f9 的 32 位 输出 作为 MAC-I。 

消息 和 MAC-I 构 成 需要 加 密 的 明文 ,将 明文 长 度 作为 一 次 性 密 钥 长 度 。 发 送 端 将 当 
前 数据 帧 的 帧 序号 ,一 次 性 密 钥 长 度 \ 根 据 传输 方向 (手机 至 基站 或 基站 至 手机 ) 得 出 的 方 
向 标志 值 、 对 应 当前 移动 通信 和 网络 提供 的 服务 类 型 的 承载 业务 值 和 加 密 密 钥 CK 作为 函 
数 f8 的 输入 ,函数 f8 输出 与 明文 长 度 相同 的 一 次 性 密 钥 。 一 次 性 密 钥 与 由 消息 和 MAC-I 
组 成 的 明文 逐 位 异 或 运算 的 结果 ,就 是 加 密 后 的 密 文 。 发 送 端 将 密 文 传输 给 接收 端 。 

如 图 4. 14 所 示 ,接收 端 从 数据 帧 中 获取 当前 帧 序号 ,根据 数据 帧 中 密 文 长 度 得 出 一 
次 性 密 钥 长 度 ,根据 传输 方向 (手机 至 基站 或 基站 至 手机 ?得 出 的 方向 标志 值 ,根据 移动 通 
信和 网 络 提供 的 服务 类 型 得 出 对 应 的 承载 业务 值 ,将 上 述 参数 和 加 密 密 钥 CK 一 起 作为 函 
数 f8 的 输入 ,得 到 与 密 文 长 度 相同 的 一 次 性 密 钥 , 密 文 与 一 次 性 密 钥 逐 位 异 或 运算 的 结 
果 就 是 解密 后 的 明文 , 即 消息 和 MAC-I。 

接收 端 将 当前 帧 序号 .与 发 送 端 约定 的 当前 阶段 使 用 的 随机 数值 .根据 传输 方向 ( 手 
机 至 基站 或 基站 至 手机 ) 得 出 的 方向 标志 值 、 消 息 和 完整 性 密 钥 IK 作为 函数 f9 的 输入 ， 
将 函数 f9 的 32 位 输出 作为 MAC-T 。 比 较 发 送 端 生成 的 MAC-I 和 接收 端 重新 计算 出 的 
MAC-T ,如 果 MAC-I=MAC-IT, 则 表明 数据 帧 在 传输 过 程 中 没有 改变 ,完整 性 检测 成 功 。 
如 果 MAC-I 关 MAC-IT , 则 表明 数据 帧 在 传输 过 程 中 发 生 改变 ,完整 性 检测 失败 。 

4. GSM 与 3G 安全 性 比较 

GSM 只 具有 单 向 身份 鉴别 机 制 , 即 只 有 基站 对 手机 进行 身份 鉴别 ,手机 不 对 基站 进 
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行 身份 鉴别 ,而 3G 进行 双向 身份 鉴别 。GSM 没有 完整 性 检测 机 制 ,而 3G 能 够 根据 完整 
性 检测 密 钥 IK 和 函数 f9 为 每 一 帧 数据 帧 生成 MAC。GSM 的 加 密 密 钥 Kc 只 有 64 位 ， 
而 3G 生成 128 位 的 加 密 密 钥 CK 和 完整 性 检测 密 钥 IK , 密 钥 长 度 越 长 ,安全 性 越 高 。 

由 于 许多 手机 对 于 GSM 和 3G 是 自 适应 的 , 即 如 果 检 测 到 3G 基站 , 则 接 和 人 3G 基 
站 。 如 果 只 检测 到 GSM 基站 , 则 接 入 GSM 基站 。 因 此 , 当 GSM 伪 基 站 屏蔽 掉 3G 基站 
的 信号 后 ,3G 手机 也 有 可 能 接 入 GSM 伪 基站 ,这 是 GSM 伪 基 站 造成 广泛 危害 的 原因 。 


4.4 无 线 局 域 网 安全 机 制 


无 线 局 域 网 的 安全 机 制 包括 接 和 人 控制 .加密 和 完整 性 检测 ,目前 无 线 局 域 网 提供 两 种 
安全 技术 ,分 别 是 WEP 和 WPA2, 由 于 WPA2 的 安全 性 好 于 WEP, 因 此 ,WPA2 成 为 移 
动 终端 首选 的 安全 技术 。 

WEP 和 WPA2 个 人 模式 采用 共享 密 钥 身份 鉴别 机 制 , 即 通过 判别 移动 终端 和 AP 
是 否 配置 相同 的 密 钥 鉴别 对 方 的 身份 ,因此 ,移动 终端 和 AP 配置 的 密 钥 的 保密 性 是 无 线 
局 域 网 安全 的 基础 。 值 得 指出 的 是 ,移动 通信 网 络 中 共享 密 钥 的 保密 性 好 于 无 线 局 域 网 
中 共享 密 钥 的 保密 性 。 


441 WEP 


802. 11 有 线 等 效 保密 (Wired Equivalent Privacy, WEP) 是 无 线 局 域 网 早期 的 安全 技 
术 , 它 的 优点 是 实现 简单 ,可 以 在 处 理 能 力 较 弱 的 无 线 终端 上 实现 ,缺点 是 安全 性 不 强 , 因 
此 , 随 着 无 线 局 域 网 应 用 的 普及 ,WEP 已 经 无 法 应 对 目前 面临 的 无 线 局 域 网 安全 问题 。 

1. WEP 加 密 和 完整 性 检测 机 制 

(1) 发 送 端 完整 性 检验 值 计算 和 数据 加 密 过 程 

WEP 发 送 端 完整 性 检验 值 计 算 和 数据 加 密 过 程 如 图 4. 15 所 示 。40 位 密 钥 (也 可 以 
是 104 位 密 钥 ) 和 24 位 初始 向 量 (Initialization Vector,IV) 串 接 在 一 起 ,构成 64 位 随机 数 
种 子 , 伪 随机 数 生 成 器 (PRNG) 根 据 随 机 数 种 子 产 生 一 次 性 密 钥 ,一 次 性 密 钥 的 长 度 等 于 
数据 长 度 十 4( 单 位 为 字 节 ) ,一 次 性 密 钥 长 度 中 增加 的 4 字 节 用 于 加 密 完 整 性 检验 值 
(Integrity Check Value,ICV) 。4 字 节 的 完整 性 检验 值 是 根据 数据 和 生成 函数 G(X) 计 
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4.15 WEP 生成 完整 性 检验 值 和 加 密 数 据 的 过 程 
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算 所 得 的 循环 元 余 检 验 码 ,WEP 用 32 位 循环 元 余 检 验 (Cyclic Redundancy Check,CRC) 
码 作为 检测 数据 完整 性 的 完整 性 检验 值 。 可 以 用 CRC-32 表示 32 位 循环 元 余 检验 码 。 

一 次 性 密 钥 和 随机 数 种 子 是 一 对 一 的 关系 ,只 要 随机 数 种 子 改变 ,一 次 性 密 钥 也 随 之 
改变 。 构 成 随机 数 种 子 的 64 位 二 进 制 数 中 ,40 位 密 钥 是 固定 不 变 的 ,可 以 改变 的 是 24 
位 初始 向 量 。 为 了 使 接收 端 能 够 产生 相同 的 一 次 性 密 钥 ,必须 让 接收 端 和 发 送 端 同步 随 
机 数 种 子 。WEP 要 求 发 送 端 和 接收 端 具有 相同 的 40 位 密 钥 ,因此 ,只 要 同步 初始 向 量 ， 
就 可 以 同步 随机 数 种 子 。 为 了 同步 初始 向 量 ,发送 端 每 一 次 向 接收 端 传输 数据 时 ,将 24 
位 初始 向 量 以 明文 的 方式 和 数据 一 起 传输 给 接收 端 。 数 据 和 4 字 节 完整 性 检验 值 与 相同 
长 度 的 一 次 性 密 钥 异 或 运算 后 生成 密 文 。 因 此 ,发 送 端 传输 给 接收 端的 是 加 密 数 据 和 4 
字 节 完整 性 检验 值 后 生成 的 密 文 与 24 位 初始 向 量 明文 。 

为 了 保证 数据 传输 安全 ,发送 端 每 一 次 向 接收 端 传输 数据 时 ,要求 使 用 不 同 的 一 次 性 
密 钥 ,因此 ,发送 端 每 一 次 向 接收 端 传输 数据 时 ,要求 使 用 不 同 的 初始 向 量 。 

(2) 接收 端 解 密 数 据 和 实现 数据 完整 性 检测 的 过 程 

接收 端 解密 数据 和 实现 数据 完整 性 检测 的 过 程 如 图 4. 16 所 示 ,接收 端 将 配置 的 40 
位 密 钥 和 MAC 帧 携带 的 24 位 初始 向 量 串 接 成 64 位 随机 数 种 子 , 伪 随机 数 生 成 器 根据 
这 64 位 随机 数 种 子 产生 一 次 性 密 钥 ,其 长 度 等 于 密 文 长 度 。 密 文 和 一 次 性 密 钥 异 或 运算 
后 还 原 出 数据 明文 和 4 字 节 的 完整 性 检验 值 。 接 收 端 根 据 MAC 帧 中 的 数据 和 与 发 送 端 
相同 的 生成 函数 G(X) 计 算出 循环 元 余 检 验 码 , 并 把 计算 结果 和 MAC 帧 携带 的 完整 性 检 
验 值 进 行 比较 ,如 果 相等 , 则 表示 数据 在 传输 过 程 中 没有 被 算 改 。 
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图 4.16 WEP 解密 数据 和 实现 数据 完整 性 检测 的 过 程 


(3) 伪 随 机 数 生成 器 的 特性 

伪 随 机 数 生 成 器 (PRNG) 必 须 具 有 以 下 两 个 特性 : 一 是 不 同 的 输入 产生 不 同 的 一 次 
性 密 钥 ; 二 是 伪 随 机 数 生成 器 (PRNG) 是 一 个 单 向 函数 ,一 次 性 密 钥 k 王 PRNG( 共 享 密 
钥 ,IV) ,无 法 通过 一 次 性 密 钥 k 和 IV 导出 共享 密 钥 。 

2. WEP 鉴别 机 制 

WEP 定义 了 两 种 鉴别 机 制 : 一 是 开放 系统 鉴别 机 制 ;二 是 共享 密 钥 鉴别 机 制 。 开 放 
系统 鉴别 机 制 实 际 上 并 不 对 终端 进行 鉴别 ,只 要 终端 向 AP 发 送 鉴 别 请 求 帧 ,AP 一 定向 
终端 回 送 表示 鉴别 成 功 的 鉴别 响应 帧 。 

共享 密 钥 鉴别 过 程 如 图 4. 17 所 示 ,终端 向 AP 发 送 鉴别 请 求 帧 ,AP 向 终端 回 送 鉴别 
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响应 帧 ,鉴别 响应 帧 中 包含 由 AP 伪 随 机 数 生成 器 产生 的 长 度 为 128 字 节 的 随机 数 
challenge。 终 端 接收 到 AP 以 明文 方式 表示 的 随机 数 challenge 后 ,按照 图 4. 15 所 示 的 
WEP 加 密 数 据 过 程 对 随机 数 challenge 进行 加 密 , 以 加 密 challenge 生成 的 密 文 和 24 位 
初始 向 量 为 净 荷 构建 鉴别 请 求 帧 ,并 把 鉴别 请 求 帧 发 送 给 AP。AP 根据 图 4. 16 所 示 的 
WEP 解密 数据 过 程 还 原 出 随机 数 challenge' ,并 将 还 原 出 的 随机 数 challenge 和 自己 保留 
的 随机 数 challenge 进行 比较 ,如 果 相 同 , 则 表示 鉴别 成 功 ,向 终端 发 送 表 示 鉴 别 成 功 的 鉴 
别 响应 帧 ,否则 表示 鉴别 失败 ,向 终端 发 送 表示 鉴别 失败 的 鉴别 响应 帧 。 图 4. 17 中 发 送 
的 鉴别 请 求 帧 和 鉴别 响应 帧 都 携带 鉴别 事务 序号 ,从 终端 发 送 的 第 一 个 鉴别 请 求 帧 开始 ， 
鉴别 事务 序号 依次 为 1 一 4, 因 此 ,终端 发 送 给 AP 的 2 个 鉴别 请 求 帧 由 于 鉴别 事务 序号 分 
别 为 1 和 3,AP 对 其 进行 的 操作 也 不 同 。 共 享 密 钥 鉴别 机 制 确 定 某 个 终端 是 否 是 授权 终 
端的 依据 是 该 终端 是 否 具有 与 AP 相同 的 密 钥 。 

















鉴别 请 求 号 
鉴别 响应 (challenge) 
上 鉴别 请 求 (加 密 后 密 文 ) 
终端 一 鉴别 响应 (成 功 ) AP 
图 4.17 共享 密 钥 鉴别 过 程 
3. WEP 安全 缺陷 


(1) BSS 中 的 所 有 终端 使 用 相同 密 钥 

属于 同一 基本 服务 集中 的 所 有 终端 配置 相同 的 40 位 密 钥 ,而 且 基本 服务 集中 的 所 有 
终端 直接 用 配置 的 40 位 密 钥 进行 身份 鉴别 和 数据 加 密 。 因 此 ,属于 同一 基本 服务 集中 的 
所 有 终端 均 能 解密 某 个 终端 经 过 无 线 信 道 传输 的 加 密 数 据 后 生成 的 密 文 。 这 将 影响 经 过 
无 线 信道 传输 的 数据 的 保密 性 。 

(2) 一 次 性 密 钥 集 有 限 

由 于 基本 服务 集中 的 所 有 终端 使 用 相同 密 钥 ,因此 ,在 24 位 初始 向 量 下 ,基本 服务 集 
中 的 所 有 终端 共享 由 2* 个 一 次 性 密 钥 组 成 的 密 钥 集 ,因而 很 容易 发 生 重复 使 用 一 次 性 密 
钥 的 情况 。 

(3) CRC 计算 完整 性 检验 值 

为 了 保证 完整 性 检验 值 能 够 检测 出 对 数据 的 蓄意 算 改 ,要 求 完整 性 检验 值 满 足以 下 
条 件 : 对 于 数据 D 和 根据 数据 D 计算 出 的 完整 性 检验 值 C, 无 法 导出 数据 D' , 且 D' 入 D， 
但 根据 数据 D' 计 算出 的 完整 性 检验 值 等 于 C。 

如 果 CRC 作为 计算 完整 性 检验 值 的 算法 ,对 于 数据 D 和 C=CRC(D) ,容易 导出 数 
据 D', 且 D' 隆 D, 但 CRC(D') 二 CRC(D)。 因 此 ,如 果 将 数据 DD 蓄意 算 改 为 D', 用 CRC 计 
算出 的 完整 性 检验 值 是 无 法 检测 出 这 种 对 数据 进行 的 蓄意 自 改 的 。 

(4) 鉴别 身份 过 程 存在 缺陷 

如 图 4. 18 所 示 ,如 果 非 授权 终端 (入 侵 终端 ) 想 通过 AP 的 共享 密 钥 鉴别 过 程 , 它 可 
以 一 直 侦 听 AP 与 其 他 授权 终端 之 间 进 行 的 共享 密 钥 鉴别 过 程 。 因 为 无 线 通信 的 开放 
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性 , 非 授权 终端 可 以 侦 听 到 共享 密 钥 鉴 别 过 程 中 授权 终端 和 AP 之 间 相 互 交换 的 所 有 鉴 
别 请 求 帧 和 鉴别 响应 帧 。 由 于 密 文 是 通过 一 次 性 密 钥 和 明文 异 或 运算 后 得 到 的 结果 , 即 
Y 二 K GP(Y 为 密 文 ,K 为 一 次 性 密 钥 ,P 为 明文 ) ,因此 ,用 明文 和 密 文 异 或 运算 后 得 到 的 
结果 就 是 一 次 性 密 钥 K, 即 Y @P=K @P @P 一 K。 由 于 非 授 权 终 端 侦 听 到 了 AP 以 明文 
方式 发 送 给 授权 终端 的 随机 数 P, 以 及 授权 终端 发 送 给 AP 的 随机 数 P 加 密 后 的 密 文 Y 
和 对 应 的 24 位 初始 向 量 明文 , 非 授 权 终端 完全 可 以 得 出 授权 终端 用 于 此 次 加 密 的 一 次 性 
密 钥 K 和 对 应 的 初始 向 量 IV。 当 非 授权 终端 希望 通过 AP 鉴别 时 , 它 也 发 起 鉴别 过 程 ， 
并 用 侦 听 到 的 一 次 性 密 钥 K 加 密 AP 给 出 的 随机 数 P' ,并 将 密 文 Y (Y' 一 K @P') 和 对 应 
的 初始 向 量 IV 发 送 给 AP。 由 于 非 授权 终端 使 用 的 一 次 性 密 钥 K 和 初始 向 量 IV 都 是 有 
效 的 ,因此 AP 通过 对 非 授权 终端 的 鉴别 。 
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4.18 非 授权 终端 通过 AP 鉴别 的 过 程 
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随 着 无 线 局 域 网 应 用 的 普及 ,一 是 无 线 局 域 网 面临 的 安全 问题 日 益 严重 ,二 是 无 线 终 
端的 计算 能 力 越 来 越 强 。 因 此 ,需要 采用 更 加 安全 的 实现 接 入 控制 ,数据 传输 保密 性 和 数 
据 传输 完整 性 的 技术 。 当 然 , 这 种 技术 需要 采用 更 加 复杂 的 加 密 和 报 文摘 要 算法 ,以 及 更 
加 复杂 的 一 次 性 密 钥 生 成 过 程 。 

Wi-Fi 保护 访问 (Wi-Fi Protected Access,WPA) 是 一 种 比 WEP 有 着 更 高 安全 性 的 
无 线 局 域 网 安全 标准 ,WPA 兼容 2003 年 颁布 的 802. 11i 草稿 , WPA2 兼容 2004 年 颁布 
的 802.11i 标准 。 

WPA2 分 为 企业 模式 和 个 人 模式 ,小 型 无 线 局 域 网 一 般 采用 个 人 模式 。 因 此 ,本 节 
主要 讨论 WPA2 个 人 模式 。 

1. 密 钥 导出 PSK 过 程 

WPA2 个 人 模式 下 ,AP 和 终端 之 间 采 用 基于 预 共享 密 钥 的 身份 鉴别 机 制 。 预 共享 
密 钥 (Pre-Shared Key,PSK) 的 长 度 为 256b, 为 了 方便 配置 ,允许 属于 相同 BSS 的 终端 配 
置 8 一 63 个 字符 长 度 的 字符 串 作 为 密 钥 , 终 端 和 AP 可 以 通过 密 钥 导出 256b 长 度 的 预 共 
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享 密 钥 PSK。 通 过 密 钥 导出 PSK 的 过 程 如 下 。 

PSK 一 Fn (SSID,SSID 长 度 , 密 钥 ,…); 

只 有 当 终 端 和 AP 有 着 相同 的 密 钥 和 服务 集 标识 符 (Service Set Identifier,SSID) 时 ， 
终端 和 AP 才能 产生 相同 的 预 共享 密 钥 。 终 端 和 AP 鉴别 对 方 身份 的 过 程 就 是 确定 对 方 
是 否 拥 有 与 自己 相同 的 预 共 享 密 钥 的 过 程 。 

2. 由 PSK 导出 PTK 的 过 程 

WPA2 个 人 模式 下 ,终端 和 AP 直接 将 256b 长 度 的 PSK 作为 成 对 主 密 钥 (Pairwise 
Master Key, PMK)。 由 PMK 导出 成 对 过 渡 密 钥 (Pairwise Transient Key,PTK) 的 过 程 
如 图 4. 19 所 示 , PMK、AP 的 MAC 地 址 、 终 端的 MAC 地 址 .AP 产生 的 随机 数 AN. 终 
端 产生 的 随机 数 SN 作为 伪 随 机 数 生 成 器 的 输入 ,PTK 作为 伪 随 机 数 生成 器 的 输出 。 由 
于 计算 PTK 的 输入 包含 PMK、AP 的 MAC 地 址 、 终 端的 MAC 地 址 .AP 产生 的 随机 数 
AN 终端 产生 的 随机 数 SN, 因 此 ,在 PMK 和 AP 不 变 的 情况 下 , 当 以 下 参数 改变 时 , 输 
出 的 PTK 也 随 之 改变 。 

。 终端 的 MAC 地址 。 
终端 产生 的 随机 数 。 

。 AP 产生 的 随机 数 。 

由 于 不 同 的 终端 有 着 不 同 的 MAC 地 址 ,因此 ,不 同 终端 与 AP 之 间 有 着 独立 的 
PTK。 由 于 终端 和 AP 之 间 每 一 次 建立 安全 关联 时 产生 的 随机 数 SN 和 AN 都 是 不 同 
的 ,因此 ,相同 AP 和 终端 之 间 每 一 次 建立 安全 关联 时 ,通过 PMK 导出 的 PTK 也 是 不 
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图 4.19 导出 PTK 的 过 程 和 PTK 结构 


PTK 由 三 种 类 型 的 密 钥 组 成 : 一 是 双向 身份 鉴别 时 使 用 的 鉴别 密 钥 KCK, 二 是 AP 
用 于 加 密 广 播 密 钥 的 加 密 密 钥 KEK ,三 是 终端 与 AP 之 间 传 输 数 据 时 用 于 加 密 数据 和 实 
现 完整 性 检测 的 密 钥 。 对 于 第 三 种 类 型 的 密 钥 ,临时 密 钥 完整 性 协议 (Temporal Key 
Integrity Protocol,TKIP) 和 AES-CCMP 是 不 同 的 。 对 于 TKIP ,加密 数据 的 密 钥 和 实现 
数据 完整 性 检测 的 密 钥 是 不 同 的 ,TKIP TK 作为 加 密 数 据 的 密 钥 ,TKIP MIC 作为 实现 
数据 完整 性 检测 的 密 钥 。 对 于 AES-CCMP, 用 同一 个 密 钥 CCMP TK 实现 数据 加 密 和 数 
据 完 整 性 检测 。 
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AP 生成 广播 密 钥 GTK 的 过 程 如 图 4. 20 所 示 , AP 生成 广播 密 钥 GTK 时 用 到 的 
GMK 通过 手工 配置 或 者 由 AP 生成 。GN 是 AP 每 一 次 计算 广播 密 钥 GTK 时 生成 的 随 
机 数 。 
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图 4.20 导出 GTK 的 过 程 和 GTK 结构 


3. 加 密 过 程 

WPA2 支持 两 种 不 同 的 加 密 机 制 ,TKIP 和 AES-CCMP。TKIP 和 AES-CCMP 均 采 
用 流 密码 体制 ,但 AES-CCMP 的 安全 性 好 于 TKIP。TKIP 加 密 过 程 如 图 4. 21 所 示 ,128 
位 的 TKIP TK、MAC 帧 中 的 发 送 地 址 (TA) 和 48 位 序号 TSC 作为 TKIP 一 次 性 密 钥 生 
成 函数 的 输入 ,输出 是 与 明文 长 度 相同 的 一 次 性 密 钥 。 一 次 性 密 钥 与 明文 异 或 运算 的 结 
果 是 加 密 明文 后 生成 的 密 文 。 根 据 TKIP 一 次 性 密 钥 生成 函数 的 输入 可 以 得 出 ,不 同 
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4.21 TKIP 加 密 和 完整 性 检测 过 程 
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TK 对 应 不 同 的 一 次 性 密 钥 不 同 TSC 对 应 不 同 的 一 次 性 密 钥 .不同 TA 对 应 不 同 的 一 
次 性 密 钥 。 由 于 不 同 终端 与 AP 之 间 有 着 独立 的 TK, 因 此, 不同 终端 之 间 有 着 独立 的 一 
次 性 密 钥 集 ,使 得 同一 BSS 中 的 其 他 终端 无 法 解密 某 个 终端 与 AP 之 间 传 输 的 加 密 数据 。 
在 TA 和 TK 不 变 的 情况 下 ,48 位 TSC 对 应 着 23 个 不 同 的 一 次 性 密 钥 集 。TSC 是 
MAC 帧 携带 的 序号 ,不 同 的 MAC 帧 携带 不 同 的 序号 。 

4. 完整 性 检测 过 程 

WPA2 支持 两 种 不 同 的 数据 完整 性 检测 机 制 , 即 TKIP 和 AES-CCMP, 这 两 种 安全 
机 制 的 基本 思想 是 相似 的 ,但 AES-CCMP 的 安全 性 好 于 TKIP。TKIP 完整 性 检测 过 程 
如 图 4. 20 所 示 ,michael 是 TKIP 计算 消息 完整 性 编码 (Message Integrity Code, MIC) 的 
函数 , 它 的 输入 是 128 位 TKIP MIC、MAC 帧 的 源 MAC 地 址 SA、MAC 帧 的 目的 MAC 
地 址 DA、1 字 节 长 度 的 优先 级 和 MAC 帧 净 荷 ,输出 是 64 位 的 MIC。 

michael 必须 具有 报 文摘 要 算法 要 求 的 单 向 性 和 抗 碰撞 性 , 即 对 于 P 和 MIC= 
michael(P) , 单 向 性 要 求 只 能 根据 P 求 出 MIC= michael(P) ,无 法 根据 MIC 推导 出 P。 
抗 碰撞 性 要 求 无 法 根据 P 导出 P', 且 P 坟 P' ,但 michael(P) 王 michael(P') 。 

5. 发 送 端 和 接收 端的 操作 过 程 

发 送 端 和 接收 端的 操作 过 程 如 图 4. 21 所 示 ,发 送 端 根据 密 钥 TKIP MIC 和 MAC 帧 
净 荷 等 ,通过 函数 michael 计算 出 MIC,MIC 和 MAC 帧 净 荷 构成 明文 。 发 送 端 根 据 密 钥 
TKIP TK、MAC 帧 中 TA 和 MAC 帧 中 TSC 等 ,通过 TKIP 一 次 性 密 钥 生 成 函数 生成 与 
明文 长 度 相同 的 一 次 性 密 钥 ,一 次 性 密 钥 与 明文 异 或 运算 的 结果 作为 加 密 明文 后 的 密 文 。 

接收 端 根据 密 钥 TKIP TK、MAC 帧 中 TA 和 MAC 帧 中 TSC 等 ,通过 TKIP 一 次 性 
密 钥 生 成 函数 生成 与 密 文 长 度 相同 的 一 次 性 密 钥 ,一 次 性 密 钥 与 密 文 异 或 运算 的 结果 作 
为 解密 密 文 后 的 明文 。 

接收 端 根据 密 钥 TKIP MIC 和 MAC 帧 净 荷 等 ,通过 函数 michael 计算 出 MIC ,将 
MIC' 和 从 明文 中 分 离 出 的 MIC 进行 比较 ,如 果 相 等 , 则 表示 密 文 在 传输 过 程 中 没有 发 生 
改变 ,完整 性 检测 成 功 , 和 否则 表示 密 文 在 传输 过 程 中 已 经 发 生 改变 ,完整 性 检测 失败 。 

6. 双向 身份 鉴别 

(1) 建立 安全 关联 

如 图 4. 22 所 示 ,WPA2 为 了 和 802. 11 中 的 终端 接 人 无 线 局 域 网 的 过 程 兼容 ,将 身份 
鉴别 方式 设置 为 “开放 系统 鉴别 ”, 因 此 ,终端 接 入 无 线 局 域 网 的 过 程 中 , AP 没有 对 终端 

探测 请 求 


探测 响应 
局 鉴别 请 求 (开放 系统 ) 
一 一 一 一 一 一 一 AP 


终端 鉴别 响应 (成 功 ) 
关联 请 求 





图 4.22 建立 安全 关联 过 程 
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进行 身份 鉴别 就 建立 与 终端 之 间 的 关联 。 无 线 局 域 网 建立 AP 与 终端 之 间 关 联 的 过 程 好 
像 以 太 网 将 终端 连接 交换 机 端口 的 过 程 ,交换 机 一 旦 在 终端 连接 的 端口 启动 接 人 控制 机 
制 ,交换 机 只 允许 该 端口 输入 输出 授权 终端 发 送 或 接收 的 MAC 帧 ,交换 机 通过 身份 鉴别 
过 程 确定 接 人 某 个 端口 的 终端 是 否 是 授权 终端 。 同 样 , WPA2 下 ,AP 与 终端 之 间 建 立 关 
联 后 ,只 有 授权 终端 和 授权 AP 之 间 才 能 通过 该 关联 传输 无 线 局 域 网 MAC 帧 ,终端 与 
AP 之 间 必 须 经 过 身份 鉴别 过 程 确定 相互 是 否 是 授权 终端 和 授权 AP。 具 有 上 述 特性 的 
关联 称 为 安全 关联 。 

(2) 双向 身份 鉴别 过 程 

终端 和 AP 双向 身份 鉴别 过 程 和 各 自生 成 派生 密 钥 的 过 程 如 图 4. 23 所 示 。 
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AN, MICs, Exex(GTK) 
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图 4.23 双向 身份 鉴别 过 程 


O 终端 与 AP 之 间 建 立 关联 后 ,相互 获知 对 方 的 MAC 地 址 ,确定 双方 有 着 相同 的 
SSID。 

@ AP 生成 随机 数 AN ,将 随机 数 AN 发 送 给 终端 。 

@ 终端 接收 到 AP 发 送 的 随机 数 AN 后 ,生成 随机 数 SN, 根 据 如 图 4. 19 所 示 的 
PTK 计算 过 程 计 算出 PTK, 从 PTK 中 分 离 出 128 位 密 钥 KCK。 

@ 终端 向 AP 发 送 数据 DA 和 HMACkck (Da) (MICs 二 HMACkcr (Da)) ,数据 DA 中 
包含 终端 生成 的 随机 数 SN 。 

@@ AP 根据 如 图 4.19 所 示 的 PTK 计算 过 程 ,以 与 终端 同样 的 输入 计算 出 PTK, 从 
PTK 中 分 离 出 128 位 密 钥 KCK' ,然后 根据 终端 发 送 的 数据 DA 计算 出 HMACxck (Da)， 
如 果 HMACkcx (Ds) 二 HMACkck (Da), 则 意味 着 KCK' 一 KCK ,意味 着 AP 与 终端 有 着 
相同 的 PMK ,意味 着 AP 与 终端 配置 相同 的 密 钥 ,AP 完成 对 终端 的 身份 鉴别 过 程 。 

@ AP 向 终端 发 送 数 据 Ds 和 HMACkcx (Ds) (MICs 二 HMACkcx (Ds)),KCK' 是 AP 
计算 出 的 128 位 鉴别 密 钥 ,数据 Ds 中 包含 AP 生成 的 随机 数 AN。 

@ 终端 根据 AP 发 送 的 数据 Ds 计算 出 HMACkck(Ds),KCK 是 终端 计算 出 的 128 
位 鉴别 密 钥 。 如 果 HMACkcr (Ds) 三 HMACkcx (Da) , 则 意味 着 KCK 一 KCK' ,意味 着 终 
端 与 AP 有 着 相同 的 PMK ,意味 着 终端 与 AP 配置 相同 的 密 钥 ,终端 完成 对 AP 的 身份 鉴 
别 过 程 。 

终端 通过 解密 AP 发 送 的 Ekek(GTK) 获 取 AP 的 广播 数据 加 密 密 钥 GTK 。 

加 终端 完成 对 AP 的 身份 鉴别 过 程 后 ,发 送 一 个 确认 数据 ACK 和 HMACrck (ACK) 
(MICc 二 HMACkcx (ACK)), 完 成 双向 身份 鉴别 过 程 。 
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7. WPA2 与 WEP 之 间 的 比较 

WPA2 与 WEP 之 间 主 要 有 着 以 下 不 同 。 

。 WPA2 为 每 一 个 终端 与 AP 之 间 派 生出 独立 的 PTK, 因 此 ,每 一 个 终端 与 AP 之 
间 传 输 的 数据 用 独立 的 密 钥 进行 加 密 , 每 一 个 终端 与 AP 之 间 用 独立 的 密 钥 计算 
MIC。WEP 下 ,所 有 终端 用 相同 的 共享 密 钥 产生 用 于 加 密 数 据 和 完整 性 检验 值 
的 一 次 性 密 钥 。 

WPA2 使 用 比 WEP 安全 性 更 好 的 一 次 性 密 钥 生成 算法 生成 用 于 加 密 终端 与 AP 
之 间 传 输 的 数据 的 一 次 性 密 钥 。 

WEP 用 CRC-32 计算 出 32 位 的 完整 性 检验 值 , WPA2 用 HMACxk (D) 计 算出 64 
位 消息 完整 性 编码 ,其 中 D 是 双方 交换 的 数据 。 

WPA2 采用 双向 鉴别 机 制 ,通过 交换 D 和 HMACkck (D) 确 认 双 方 配置 相同 的 密 
钥 , 其 中 D 是 双方 交换 的 数据 。WEP 采用 单 向 鉴别 机 制 ,AP 通过 有 效 IV 与 一 
次 性 密 钥 确定 终端 有 着 与 AP 相同 的 共享 密 钥 。 
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1. 家 庭 局 域 网 接 入 Internet 过 程 

家 庭 局 域 网 接 人 Internet 的 物理 连接 过 程 如 图 4. 24(a) 和 图 4. 24(b) 所 示 , 其 中 
图 4. 24(a) 所 示 的 是 双 绞 线 缆 到 家 的 连接 过 程 ,图 4. 24(b) 所 示 的 是 光纤 到 家 的 连接 过 
程 ,这 两 种 连接 过 程 对 于 无 线路 由 器 是 透明 的 。 对 于 双 绞 线 缆 到 家 的 连接 过 程 ,无 线路 由 
器 WAN 端口 直接 连接 ISP 提供 的 双 绞 线 缆 。 对 于 光纤 到 家 的 连接 过 程 ,光纤 连接 光 端 
设备 (俗称 光 猫 ?的 光纤 端口 , 双 绞 线 缆 一 端 连 接 光 端 设 备 的 双 绞 线 缆 端 口 , 另 一 端 连接 无 
线路 由 器 的 WAN 端口 。 内 部 终端 既 可 以 通过 双 绞 线 缆 接 人 无 线路 由 器 的 以 太 网 端口 ， 
也 可 以 通过 无 线 网 络 建立 与 无 线路 由 器 之 间 的 无 线 连 接 。 

图 4. 24(c) 所 示 的 是 图 4. 24(a) 和 图 4.24(b) 所 示 的 物理 结构 对 应 的 逻辑 结构 ,无 线 
路 由 器 内 部 存在 一 个 LAN 端口 ,该 LAN 端口 已 经 配置 默认 的 IP 地 址 ,如 图 4. 24(c) 所 
示 的 192. 168. 1.1/24, 该 IP 地 址 既是 内 部 网 络 所 有 终端 的 默认 网 关 地 址 ,同时 又 确定 了 
内 部 网 络 的 网 络 地 址 ,如 图 4. 24(c) 所 示 的 192. 168. 1. 0/24。 修 改 无 线路 由 器 LAN 端口 
地 址 将 同时 改变 内 部 网 络 的 网 络 地 址 和 内 部 终端 的 默认 网 关 地 址 。 无 线路 由 器 内 嵌 动 态 
主机 配置 协议 (Dynamic Host Configuration Protocol,DHCP) 服 务 器 ,因此 ,内 部 终端 只 
要 采用 自动 获得 IP 地 址 方式 ,就 可 以 从 无 线路 由 器 获得 网 络 配置 信息 。 无 线路 由 器 
WAN 端口 的 IP 地 址 在 接 入 Internet 过 程 中 由 接 入 控制 设备 分 配 。 

2. 无 线路 由 器 配置 过 程 

配置 无 线路 由 器 前 ,终端 需要 接 入 无 线路 由 器 的 以 太 网 端口 ,如 果 无 线路 由 器 
LAN 端口 的 默认 全 地 址 是 192. 168. 1. 1/24( 对 应 不 同 的 无 线路 由 器 ,该 IP 地 址 可 能 
不 同 , 参 阅 无 线路 由 器 手册 ) ,通过 配置 本 地 连接 属性 ,将 终端 以 太 网 卡 关联 的 卫 地 址 
设置 为 与 192. 168. 1. 1/24 有 着 相同 网 络 地 址 的 耳 地 址 ,如 192. 168. 1. 2/24。 对 无 线 
路 由 器 主要 配置 以 下 两 方面 内 容 ,一 是 配置 宽带 连接 ,二 是 配置 无 线 网 络 属性 。DHCP 
服务 器 和 网 络 地 址 转换 (Network Address Translation ,NAT) 功 能 在 默认 状态 下 是 启 


Ne/ 信息 安全 实用 教程 
内 部 双 绞 线 缆 | WAN 端 口 


无 
轧 路 由 器 
二 加 


(a) 双 绞 线 绕 到 家 连接 过 程 


光纤 
内 部 | WAN 喘 口 5 Ce ) 
时  EeA0bg 淘 


无 线 光 猫 
己 路 由 器 
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(0) 逻辑 结构 
图 4.24 家 庭 局 域 网 接 入 Internet 过 程 
动 的 。 
(1) 进入 无 线路 由 器 配置 界面 


WAN 端 口 
os 


为 终端 手工 设置 IP 地 址 后 ,启动 浏览 器 ,在 地 址 栏 输入 无 线路 由 器 LAN 端口 的 默 
认 IP 地 址 192. 68.1. 1, 弹 出 如 图 4. 25 所 示 的 无 线路 由 器 用 户 身份 鉴别 界面 。 输 入 无 线 
路 由 器 手册 提供 的 用 户 名 和 密码 , 单 击 “ 确 定 ” 按 钮 ,弹出 无 线路 由 器 配置 界面 。 


(2) 配置 宽带 连接 


图 4. 26 所 示 是 TP-LINK 无 线路 由 器 宽带 连接 配置 界面 ,主要 配置 以 下 信息 。 


。 WAN 端口 连接 类 型 选择 PPPoE。 

。 上 网 账号 输入 注册 时 ISP 提供 的 账号 。 

。 上 网 口令 和 确认 口令 输入 注册 时 ISP 提供 的 口令 。 
。 单 选 “ 按 需 连接 ,在 有 访问 时 自动 连接 ”选项 。 

。 单 击 下 面 的 “保存 ”按钮 。 

(3) 设置 无 线 网 络 

无 线 网 络 设置 过 程 分 为 基本 设置 和 安全 设置 两 部 分 。 
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图 4.25 无 线路 由 器 用 户 身份 鉴别 界面 





























AID 这 报关 型 : [Fr -| Ce] 

了 PP 连接- 

上 号 : 12345676 

上 网 D 令 : EC 

确认 口令 : EC 

特殊 所 号 ; 自动 于 尝 拓 号 模式 ~ 

第 二 连接 : 图 菜 用 © 动 右 J 。 占 吉 态 莫 





自 5 总 等 村 时间 : [15] 分 《0 表示 不 自动 新 经 ) 
@ 自动 入 接 ， 在 开机 和 和 疡 晓 后 自动 这 按 
@ 定时 活 接 ,在 指定 的 时 间 段 自动 入 接 
注意 : 只 有 当 您 到 “系统 工具 ” 荣 单 的 “时 间 设置 ”项 设置 了 当前 时 间 后 ，" 定 
时 连接 ”功能 才能 生效 。 
连接 时 段 :从 ] 时 四 ] 分 到 加] 时 四 ] 分 
占 于 动 各 接 ， 由 用 户 手 动 连 接 
自 声 总 等 竺 时 间 : [5] 分 《0 表示 不 自动 断 绕 ) 


医 司 区 到 已 s 
CBE] 



























































图 4.26 配置 宽带 连接 


基本 设置 界面 如 图 4. 27 所 示 ,设置 内 容 如 下 。 
。 无 线 网 络 的 SSID( 该 无 线路 由 器 固定 为 Chinaunicom) 。 
。 信道 ,输入 BSS 使 用 的 信道 号 ,选择 “自动 ”表明 由 无 线路 由 器 自动 选择 其 他 BSS 


未 使 用 的 信道 。 
模式 ,输入 BSS 支持 的 物理 层 标准 ,选择 11bgn mixed, 表 明 无 线路 由 器 同时 支持 


802. 11/b/g/n 标准 的 无 线 终端 。 


完成 设置 后 , 单 击 “保存 ”按钮 。 
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无 二 同和 基本 座 轩 

















图 4.27 “无 线 网 络 基本 设置 "界面 
无 线 网 络 安全 设置 界面 如 图 4. 28 所 示 ,设置 内 容 如 下 。 


本 页 面 设置 路 由 器 无 线 网 络 的 安全 认证 选项 。 
安全 提示 : 为 保障 网 络 安 全 ,强烈 推荐 开局 安全 设置 ,并 使 用 WPA- 
PSK/YPA2-PSK AES 加 密 方法 。 


日 不 开局 无 械 安 全 

@ YPA-PSKAYPA2-FSK 

WI 型 : [we-rsr =] 

加 密 算 法 : M5 

PSKEy: 12345878 

《6-63 个 ASCII 码 字符 或 8-64 个 十 六 进 制 字符 ) 

姐 密 钥 更 新 周期; [56400 
《单位 为 秒 ， 最 小 值 为 30， 不 更 新 则 为 0) 


























图 4.28 “无 线 网 络 安全 设置 "界面 


认证 类 型 选择 WPA2-PSK ,这 是 无 线路 由 器 最 安全 的 认证 类 型 。 
加 密 算 法 选择 AES。 
PSK 密码 输入 自己 设 定 的 密码 。 
完成 设置 后 , 单 击 * 保 存 ” 按 钮 。 

其 他 无 线 终端 需要 加 入 该 BSS 时 ,检索 到 的 无 线 网 络 名 是 基本 配置 设 定 的 SSID( 这 
里 为 Chinaunicom) ,输入 的 密 钥 是 安全 设置 时 设 定 的 密码 (这 里 为 12345678) 。 

完成 上 述 设置 后 ,用 户 可 以 检查 无 线路 由 器 的 运行 状态 ,一 旦 WAN 端口 成 功 连接 ， 
如 图 4. 29 所 示 ,内 部 终端 便 可 以 开始 访问 Internet。 当 然 ,无 线 终端 必须 与 无 线路 由 器 
建立 无 线 连 接 后 才 允 许 访问 Internet。 


444 家 庭 局 域 网 面临 的 安全 威胁 与 对 策 


1. 非法 接 入 与 对 策 

非法 接 入 是 指 没有 授权 与 无 线路 由 器 建立 连接 的 移动 终端 成 功 地 连接 到 无 线路 由 
器 。 不 同安 全 机 制 下 ,有 着 不 同 的 实现 非法 接 和 人 的 方法 。WEP 安全 机 制 下 ,黑客 终端 通 
过 侦 听 授权 终端 成 功 连接 到 无 线路 由 器 过 程 中 所 交换 的 MAC 帧 ,就 可 以 冒充 授权 终端 
成 功 连接 到 无 线路 由 器 。 


第 4 章 无 线 通 信安 全 技术 


当前 软件 版 本 : 。 4-16.29 Build 110909 Rel 35946n 
当前 硬件 版 本 : YR740N 5.0/6.0 00000000 








mc 地 址 : F8-D1-11-24-55-9c 
区 地 址 : 192.168.1.1 
子 网 掩 码 : 255. 255. 255.0 
无 并 状态 
无 战功 能 : 局 用 
SsIDS: Chinaani com 
信道 : 自动 (当前 信道 1 ) 
模式 : llben nixed 
括 段 带宽: 自动 
Mc 地 址 : 了 6-DI-11-B4-55-9C 
和 ns 状态 : 未 开局 
MC 地 址 : F8-D1-11-24-55-9D 
地 址 : 112.80.76.211 PPPok 控 需 连 接 
子 网 掩 码 : 255. 255.255.0 
网 关 : 112.80.76.211 
DNS 服务 器 : 58.240.57.33 ，221.6.4.66 
上 Feta : 0 day(s) 00:30:44 区 而 


图 4.29 无 线路 由 器 运行 状态 


WPA2-PSK 安全 机 制 下 ,黑客 终端 只 能 通过 暴力 破解 密码 实现 非法 接 入 ,因此 ， 
WPA2-PSK 安全 机 制 下 ,家 庭 局 域 网 的 安全 性 很 大 程度 上 取决 于 配置 的 密码 的 复杂 性 。 
如 图 4. 28 所 示 的 PSK 密码 在 实际 配置 过 程 中 是 不 允许 使 用 的 。 实 际 配置 的 PSK 密码 
通常 要 求 包含 数字 、 大 写字 母 小写 字母 和 特殊 字符 等 。 

无 线路 由 器 的 主机 状态 界面 如 图 4. 30 所 示 , 主 机 状态 界面 列 出 目前 连接 到 无 线路 由 
器 的 主机 数目 及 这 些 主机 的 MAC 地 址 。 由 于 用 户 可 以 查看 当前 正常 连接 到 无 线路 由 器 
的 主机 的 MAC 地 址 ,因此 ,当主 机 状态 中 出 现 未 知 MAC 地 址 时 ,可 以 确定 有 非 授权 终 
端 连接 到 无 线路 由 器 。 





本 页 显示 连接 到 本 无 线 网 络 的 所 有 主机 的 基本 信息 。 
当前 所 连接 的 主机 数 : 2 。 [刷新 








四] MC 地 址 当前 杖 态 的 收 元 据 也 教 | 发 送 数 据 包 数 

| | 48-6B-2c-99-74-n2 | 连接 OPA2-ESI 370 283 

[Elm | ern | ee | tw | 
| 王 到 本 到 























图 4.30 主机 状态 


目前 阻止 非法 接 入 的 方法 有 两 个 : 一 是 使 用 WPA2-PSK 安全 机 制 ,并 配置 复杂 的 密 
码 ,使 得 暴力 破解 密码 成 为 不 可 能 ;二 是 启用 MAC 地 址 过 滤 功 能 。MAC 地 址 过 滤 功 能 
配置 界面 如 图 4. 31 所 示 。 启 用 过 滤 功 能 ,过 滤 规 则 选择 “允许 列表 中 生效 的 MAC 地 址 
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访问 本 无 线 网 络 ”, 在 MAC 地 址 列表 中 手工 添加 所 有 人 允许 访问 无 线 网 络 的 MAC 地 址 。 
完成 上 述 操 作 后 ,只 有 MAC 地 址 是 MAC 地 址 列表 中 的 MAC 地 址 的 移动 终端 才 允 许 连 
接 到 无 线路 由 器 。 


天 其中 9AC 地 址 过 站 设 置 





本 页 设 千 uc 地 直 过 涝 未 控制 计算 机 对 本 无 线 F38 的 访问 | 
注意 : 开启 无 纺 WWc 地 址 过 源 能 ， 将 会 导 下 9s5 安 全 设置 功能 不 可 用 。 | 


Wr 地址 过 尖 功 能 : 已 关闭 。 [ 刘 同 到] 
| 
| 
] 
| 





图 禁止 列表 中 生效 mC 地 址 访问 本 无 线 网 络 
电 人 允许 列表 中 生 区 BC 地 址 访问 本 无 线 P 络 


Lpm TT wat [类 [|]  _ 寻 _ _ [ 同 | 



































图 4.31 MAC 地 址 过 滤 功 能 配置 界面 


2. 无 线路 由 器 劫持 与 对 策 

无 线路 由 器 劫持 是 指 黑客 可 以 控制 无 线路 由 器 。 黑 客 控制 无 线路 由 器 需要 完成 两 个 
过 程 : 一 是 成 功 连接 到 无 线路 由 器 ;二 是 成 功 登 录 无 线路 由 器 。 阻 止 黑 客 终端 连接 到 无 
线路 由 器 的 方法 有 两 个 : 一 是 使 用 WPA2-PSK 安全 机 制 ,并 配置 复杂 的 密码 ;二 是 启用 
MAC 地 址 过 滤 功 能 。 阻 止 黑客 登录 无 线路 由 器 的 方法 也 有 两 个 ,一 是 重新 设置 无 线路 
由 器 的 登录 密码 ,不 使 用 默认 的 无 线路 由 器 登录 密码 。 图 4. 32 所 示 是 重新 设置 无 线路 由 
器 登录 密码 的 界面 。 





本 页 修 避 系统 管理 员 的 用 户 名 及 口令 ， 用 户 名 及 口令 长 度 不 能 超过 14 个 字 
节 。 


原 用 户 名 : 
原 口令 : 
新 用 户 名 : 
新 口令 : 
确认 新 口令 : 


医 到 
图 4.32 设置 无 线路 由 器 登录 密码 的 界面 











二 是 选择 “只 允许 内 部 网 络 终端 访问 用 于 完成 配置 过 程 的 Web 页 面 ", 且 限制 允许 访 
问 该 Web 页 面 的 终端 的 MAC 地 址 。 配 置 允许 访问 该 Web 页 面 的 终端 的 MAC 地 址 的 
界面 如 图 4. 33 所 示 , 选 择 “ 仅 允许 列表 中 的 MAC 地 址 访问 本 Web 管理 页 面 ", 并 在 
MAC 地 址 列表 中 手工 配置 允许 访问 Web 管理 页 面 的 终端 的 MAC 地 址 。 完 成 上 述 操作 
后 ,只 有 MAC 地 址 是 MAC 地 址 列表 中 的 MAC 地 址 的 移动 终端 才 允 许 登 录 无 线路 
由 器 。 

黑客 控制 无 线路 由 器 后 ,往往 配置 错误 的 域名 系统 (Domain Name System,DNS) 服 
务 器 地 址 ,使 得 终端 连接 到 无 线路 由 器 后 将 黑客 配置 的 错误 的 DNS 服务 器 地 址 作为 本 地 


理 





本 页 设置 局 | 苯 引 中 可 以 执行 YE 管理 的 计算 机 的 MAC 地 址 。 
图 允许 所 有 内 网 主机 访问 本 WEP 管理 页 面 
上 自 仅 多 许 列表 中 uc 地 址 访问 本 WEP 管 理 页 面 


当前 管理 PC 的 MAC 地 址 ; 
注意 : 您 可 以 通过 按 下 路 由 关上 的 复位 按 甸 将 路 由 器 的 所 有 设置 恢复 到 出 三 
时 各 认 状态 。 
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图 4.33 配置 允许 访问 Web 管理 页 面 的 终端 的 MAC 地 址 的 界面 


域名 服务 器 地 址 ,从 而 将 域名 解析 请 求 发 送 给 伪造 的 域名 服务 器 ,并 因此 得 到 错误 的 解析 
结果 ,这 是 黑客 实施 钓鱼 网 站 攻击 的 关键 一 步 。 图 4. 34 所 示 是 无 线路 由 器 DNS 服务 器 
地 址 配置 界面 。 一 般 情 况 下 ,不 对 无 线路 由 器 配置 DNS 服务 器 地 址 ,无 线路 由 器 将 从 
ISP 得 到 的 域名 服务 器 地 址 作为 分 配给 连接 到 无 线路 由 器 的 终端 的 本 地 域名 服务 器 地 
址 。 因 此 可 以 通过 查看 是 否 配置 DNS 服务 器 地 址 确定 该 无 线路 由 器 是 否 已 被 黑客 控制 。 





本 路 由 器 内 建 A9DHCP 服 务 器 能 自动 配置 局 域 网 中 各 计算 机 的 TCF/T? 协 议 。 


TDHC 服 务 器 : 


地 址 地 开始 地 址 : 
地 址 池 结 束 地 址 : 


地 址 租 期 : 


全 不 启用 加 启用 
[gzst |] 
[sz1681199 |] 
120 分 钟 (1~2680 分 钟 ， 误 省 为 120 分 钟 ) 
0000 ( 梧 选 ) 

《 司 选 ) 

0000 《 司 选 ) 

0000 ( 司 选 ) 


















































| 帝 | 
局 
国 
| 吕 | 














4.34 无 线路 由 器 DNS 服务 器 地 址 配置 界面 


控制 的 基础 。 


本 章 小 结 


移动 互联 网 的 基础 是 无 线 通信 。 
无 线 通信 的 开放 性 使 得 无 线 通信 存在 安全 问题 。 
解决 无 线 通 信安 全 问题 的 方法 是 接 入 控制 .加 密 和 完整 性 检测 ,身份 鉴别 是 接 入 


移动 通信 网 络 和 无 线 局 域 网 是 最 常见 的 采用 无 线 通信 方式 的 网 络 。 
3G 的 安全 性 好 于 GSM 的 安全 性 。 

WPA2 的 安全 性 好 于 WEP 的 安全 性 。 

3G 的 安全 性 好 于 采用 WPA2 个 人 模式 安全 机 制 的 无 线 局 域 网 。 
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4. 


本 可 
局 mo 


旬 


习 题 


无 线 通信 的 开放 性 指 什么 ? 

无 线 通信 存在 哪些 安全 问题 ?解决 这 些 安全 问题 的 机 制 是 什么 ? 

简 述 GSM 安全 机 制 ,阐述 GSM 存在 伪 基站 危害 的 原因 。 

简 述 3G 安全 机 制 ,说 明 3G 安全 机 制 的 安全 性 好 于 GSM 安全 机 制 的 理由 。 
GSM 和 3G 中 共享 密 钥 的 保密 性 是 如 何 保障 的 ? 

WEP 基于 共享 密 钥 鉴别 机 制 如 何 判定 终端 拥有 和 AP 相同 的 密 钥 ? 

WEP 将 数据 的 CRC-32 作为 数据 的 ICV 的 理由 是 什么 ? 为 什么 说 WEP 的 完 


整 性 检测 机 制 是 有 缺陷 的 ? 

4.8 简 述 TKIP 增强 加 密 和 完整 性 检测 安全 性 的 方法 。 

4.9 ” 简 述 TKIP 双向 身份 鉴别 过 程 。 

4.10 WEP 和 WPA2 个 人 模式 中 共享 密 钥 的 保密 性 是 如 何 保障 的 ? 简 述 3G 共享 
密 钥 保密 性 好 于 无 线 局 域 网 的 理由 。 


4. 11 


WEP 安全 机 制 下 , 某 个 终端 能 否 截获 属于 同一 BSS 中 的 其 他 终端 与 AP 之 间 


交换 的 数据 ? 简 述 原因 。 
4.12 简 述 WPA2 个 人 模式 下 , 某 个 终端 截获 属于 同一 BSS 中 的 其 他 终端 与 AP 之 
间 交 换 的 数据 的 过 程 , 并 与 WEP 安全 机 制 下 的 过 程 进行 比较 。 


电子 商务 和 移动 支付 安全 技术 


网 上 购物 和 移动 支付 已 经 成 为 人 们 的 日 常 行为 ,网 上 银行 和 移动 支付 的 安全 性 也 成 
为 人 们 关心 的 焦点 。 了 解 网 上 银行 和 移动 支付 的 安全 机 制 , 一 是 可 以 避 开 这 些 安全 机 制 
的 缺陷 ,保证 电子 商务 的 安全 进行 ;二 是 可 以 避免 不 必要 的 恐慌 ,对 网 上 银行 和 移动 支付 
存在 的 安全 问题 有 一 个 客观 的 认识 。 


5.1 电子 商务 概述 


电子 商务 中 的 商品 选 购 和 支付 过 程 可 以 通过 互联 网 完成 ,这 为 用 户 提供 了 极 大 的 方 
便 性 ,但 同时 也 隐藏 着 许多 安全 隐患 。 因 此 ,电子 商务 健康 发 展 的 前 提 是 必须 在 保证 方 
便 、 快 捷 的 同时 提高 安全 性 。 


511 电子 商务 定义 


电子 商务 (Electronic Commerce,EC) 是 指 通过 包括 互联 网 在 内 的 计算 机 网 络 实现 商 
品 、 服 务 或 信息 的 购买 、 销 售 与 交换 的 过 程 。 因 
此 ,电子 商务 的 要 素 有 两 个 : 一 是 以 互联 网 为 技 
术 手 段 ; 二 是 完成 商品 和 服务 的 交易 过 程 。 
图 5.1 所 示 的 网 上 购物 应 用 系统 就 是 典型 的 电子 
商务 实例 。 

完成 网 上 购物 过 程 ,需要 完成 下 单 、 支 付 和 配 
送 三 个 步骤 ,下 单 是 指 通过 互联 网 完成 商品 选 购 银行 
的 过 程 。 支 付 是 指 通过 互联 网 完成 购买 商品 所 需 图 5.1 网 上 购物 应 用 系统 
金额 从 用 户 账 户 转移 到 商家 账户 的 过 程 。 配 送 是 
指 商家 完成 将 货物 通过 物流 送 达 用 户 的 过 程 。 

网 上 银行 (简称 网 银 ) 是 用 户 通过 互联 网 完成 支付 过 程 的 重要 手段 ,网 上 银行 是 银行 
在 互联 网 上 设置 的 虚拟 柜台 ,用 户 可 以 基于 互联 网 技术 ,通过 该 虚拟 柜台 完成 转账 过 程 。 


512 电子 商务 应 用 场景 


1. 下 单 
用 户 完 成 某 个 购物 网 站 (如 图 5. 2 所 示 的 淘宝 网 ) 的 注册 过 程 后 ,可 以 通过 访问 该 购 
物 网 站 进行 商品 选 购 。 商 品 选 购 过 程 中 ,用 户 可 以 将 选中 的 商品 放 入 购物 车 。 






































图 5.2 淘宝 网 


2. 支付 

完成 网 上 支付 过 程 需要 两 个 前 提 : 一 是 用 户 需 要 在 某 个 银行 建立 账户 ,并 为 该 账户 
开通 网 上 银行 (简称 网 银 ) 功 能 ;二 是 购物 网 站 或 商家 需要 与 该 银行 建立 联系 。 假 定 用 户 
在 中 国 建设 银行 建立 账户 ,并 为 该 账户 开通 网 银 功 能 。 购 物 网 站 已 经 与 中 国 建设 银行 建 
立 联系 。 当 用 户 完成 商品 选 购 过 程 进 入 结算 阶段 时 ,可 以 选择 网 上 支付 方式 。 一 旦 选择 
网 上 支付 方式 ,该 购物 网 站 将 显示 已 经 与 其 建立 联系 的 银行 目录 ,如 图 5.3 所 示 的 银行 目 
录 。 用 户 选 择 “ 中 国 建设 银行 ”, 弹 出 如 图 5.4 所 示 的 中 国 建设 银行 网 上 银行 支付 界面 。 
用 户 可 以 通过 网 上 银行 支付 界面 完成 支付 过 程 。 





加 三 央 交付 四 时 ， 支 基 大 时 分 同上 司 全 及 要 三 万 交 付 直 外 
六 入 以 下 于 六 从 代行: 
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5.3 在线 支 付 界面 


3. 配送 

用 户 通过 网 上 银行 完成 支付 过 程 后 ,银行 向 购物 网 站 或 商家 发 送 支付 成 功 通知 ,商家 
接收 到 银行 发 送 的 支付 成 功 通知 后 ,通过 物流 向 用 户 发 送 用 户 选 购 的 商品 。 用 户 收 到 商 
品 后 , 便 完成 一 次 网 上 购物 过 程 。 
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图 5.4 中 国 建设 银行 网 上 银行 支付 界面 


4. 互联 网 数据 交换 过 程 

一 次 网 上 购物 涉及 的 数据 交换 过 程 如 图 5. 5 所 示 , 分 为 三 个 阶段 ,一 是 与 下 单 有 关 的 
阶段 ,在 这 个 阶段 ,用 户 通过 互联 网 完成 商品 选 购 过 程 ,因此 ,这 一 阶段 ,用 户 与 购物 网 站 
或 商家 之 间 主 要 完成 和 下 单 有 关 的 数据 交换 过 程 。 二 是 与 支付 有 关 的 阶段 , 当 用 户 选 择 
网 上 支付 方式 ,选中 已 经 建立 并 开通 网 银 功 能 的 账号 的 银行 后 ,由 购物 网 站 或 商家 向 该 银 
行 发 送 支 付 请 求 。 该 银行 向 用 户 弹 出 网 上 银行 支付 界面 ,用 户 通过 网 上 银行 支付 界面 完 
成 支付 过 程 。 这 个 阶段 用 户 需 要 向 网 上 银行 发 送 账号 ,登录 密码 支付 密码 等 私密 信息 。 
三 是 与 配送 有 关 的 阶段 ,银行 完成 购买 商品 所 需 金 额 从 用 户 账户 转移 到 商家 账户 的 过 程 
后 ,向 购物 网 站 或 商家 发 送 支付 成 功 通知 ,购物 网 站 或 商家 接收 到 支付 成 功 通知 后 ,通过 
物流 向 用 户 发 送 用户 选 购 的 商品 。 


用 户 商家 银行 
登录 (用 户 名 和 登录 密码 ) 


确认 支付 (支付 密码 ) 
发 货 支付 成 功 | 完成 转账 





支付 请 求 









| 一 | 














图 5.5 网 上 购物 应 用 系统 数据 交换 过 程 


513 电子 商务 面临 的 安全 威胁 


1. 钓鱼 网 站 

黑客 伪造 一 个 购物 网 站 ,引诱 用 户 注册 并 选 购 商品 , 当 用 户 选 择 网 上 支付 方式 并 指定 
银行 时 ,弹出 一 个 黑客 伪造 的 该 银行 的 网 上 银行 支付 界面 , 当 用 户 按照 要 求 输入 账号 、 登 
录 密 码 和 支付 密码 后 ,黑客 可 以 利用 这 些 私密 信息 将 用 户 账户 中 的 余额 转移 到 其 他 任意 
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账户 。 

解决 这 种 安全 问题 的 关键 有 三 点 : 一 是 用 户 有 办 法 鉴别 出 黑客 伪造 的 购物 网 站 ;二 
是 网 上 银行 支付 界面 有 着 用 户 可 以 识别 的 唯一 标识 符 , 使 得 黑客 无 法 伪造 出 携带 该 标识 
符 的 网 上 银行 支付 界面 ;三 是 即使 用 户 泄露 了 账号 .登录 密码 和 支付 密码 ,银行 也 能 通过 
其 他 安全 机 制 保证 黑客 无 法 成 功 地 完成 将 用 户 账户 中 的 余额 转移 到 其 他 账户 的 过 程 。 

2. 泄露 私密 信息 

用 户 与 银行 之 间 需 要 交换 类 似 账号 、 登 录 密码 和 支付 密码 这 样 的 私密 信息 ,这些 私 密 
信息 在 经 过 互联 网 传输 的 过 程 中 可 能 被 黑客 嗅 探 和 截获 ,使 得 黑客 得 到 这 些 私密 信息 。 
黑客 得 到 这 些 私密 信息 后 ,可 以 利用 这 些 私密 信息 将 用 户 账户 中 的 余额 转移 到 其 他 任意 
账户 。 

解决 这 种 安全 问题 的 关键 是 不 以 明文 的 方式 经 过 互联 网 传输 私密 信息 。 

3. 算 改 信息 

如 图 5.5 所 示 , 商 家 发 送 给 银行 的 支付 请 求 中 需要 给 出 商品 清单 、 购 买 商 品 所 需 的 金 
额 和 商家 账号 等 ,由 于 黑客 可 以 截获 经 过 互联 网 传输 的 支付 请 求 , 因 而 可 以 算 改 支付 请 求 
中 的 信息 ,从 而 使 得 用 户 的 支付 过 程 出 现 错误 。 

解决 这 种 安全 问题 的 关键 是 银行 能 够 判别 接收 到 的 支付 请 求 经 过 互联 网 传输 时 是 否 
发 生 改 变 。 

4. 抵赖 曾经 发 生 的 事务 

电子 商务 中 会 发 生 一 些 纠纷 ,如 用 户 抵赖 曾经 下 单 , 要 求 拒绝 接收 商家 发 送 的 商品 。 
商家 抵赖 曾经 向 银行 发 送 过 支付 请 求 ,声明 银行 的 支付 行为 与 自己 无 关 。 银 行 抵 赖 曾经 
向 商家 发 送 支付 成 功 通知 ,表示 商家 发 送 商 品 的 行为 与 自己 无 关 等 。 

解决 类 似 安全 问题 的 关键 是 ,电子 商务 中 下 单 、 支 付 和 配送 过 程 都 需要 保留 有 关 该 事 
务 的 证 据 , 如 用 户 生成 的 订单 、 商 家 发 送 的 支付 请 求 和 银行 发 送 的 支付 成 功 通知 等 , 且 使 
得 发 送 者 无 法 否认 曾经 发 送 过 这 些 信息 。 只 有 这 样 ,在 发 生 纠纷 后 ,仲裁 机 构 可 以 凭借 这 
些 证 据 进 行 仲裁 。 


514 解决 电子 商务 安全 威胁 的 思路 


1. 身份 鉴别 

(1) 购物 网 站 和 网 上 银行 身份 鉴别 

正规 的 购物 网 站 需要 经 过 权威 机 构 的 信用 认证 ,并 由 权威 机 构 颁 发 认证 证 书 , 当 用 户 
访问 该 购物 网 站 时 ,该 购物 网 站 需要 出 具 认 证 证 书 且 能 证 明 自 己 就 是 该 认证 证 书 认证 的 
购物 网 站 。 

为 了 防止 用 户 登录 钓鱼 网 站 ,用 户 必须 具有 鉴别 网 上 银行 真 伪 的 能 力 ,这 种 能 力 可 以 
通过 以 下 机 制 实现 : 一 是 当 用 户 访问 网 上 银行 时 ,该 网 上 银行 能 够 出 具 认 证 证 书 且 能 证 
明 自 己 就 是 该 认证 证 书 认 证 的 网 上 银行 ;二 是 用 户 开通 网 上 银行 时 预 留 欢迎 信息 , 当 用 户 
登录 该 网 上 银行 后 ,网 上 银行 应 该 在 醒目 处 出 现 该 用 户 预 留 的 欢迎 信息 。 

(2) 用 户 身 份 鉴别 

账号 .登录 密码 和 支付 密码 本 身 就 是 用 于 鉴别 授权 用 户 身份 的 身份 标识 信息 ,因为 ， 
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一 般 情况 下 只 有 授权 用 户 才能 获悉 这 些 私密 信息 。 为 了 防止 黑客 通过 钓鱼 网 站 骗取 这 些 
私密 信息 后 冒充 授权 用 户 ,必须 在 这 些 用 于 标识 用 户 身份 的 私密 信息 的 基础 上 ,增加 用 于 
鉴别 用 户 身份 的 机 制 。 

一 是 当 用 户 访问 网 上 银行 时 ,需要 向 该 网 上 银行 出 具 认证 证 书 且 能 证 明 自 己 就 是 该 
认证 证 书 认证 的 授权 用 户 。 二 是 开通 网 上 银行 时 ,购买 
图 5.6 所 示 的 动态 口令 牌 , 当 用 户 登 录 网 上 银行 进行 支 
付 时 ,除了 需要 输入 账号 和 支付 密码 以 外 ,还 必须 输入 、 帮 a 
当时 动态 口令 牌 中 显示 的 6 位 动态 口令 。 三 是 用 户 开通 
网 上 银行 时 ,需要 预 留 手机 号 码 并 启用 验证 码 验 证 功 
能 。 当 用 户 登 录 网 上 银行 进行 支付 时 ,不 仅 需要 输入 账 
号 和 支付 密码 ,还 需要 输入 通过 手机 接收 到 的 验证 码 。 

2. 加 密 

必须 加 密 经 过 互联 网 传输 的 私密 信息 ,如 账号 、 登 录 密码 和 支付 密码 等 。 实 现 加 密 
传输 需要 解决 两 个 问题 : 一 是 发 送 端 和 接收 端 必须 能 够 约定 加 密 和 解密 算法 ;二 是 发 
送 端 和 接收 端 必须 能 够 安全 分 发 用 于 加 密 和 解密 的 密 钥 。 为 了 保证 加 密 传输 过 程 安 
全 进行 ,用 户 与 网 上 银行 之 间 使 用 的 加 密 解 密 算法 和 密 钥 需要 动态 协商 确定 ,不 能 事 
先 静 态 配 置 。 

3. 完整 性 检测 

需要 对 经 过 互联 网 传输 的 数据 进行 完整 性 检测 。 实 现 完整 性 检测 同样 需要 解决 两 个 
问题 : 一 是 发 送 端 和 接收 端 必须 能 够 约定 用 于 生成 消息 鉴别 码 (Message Authentication 
Code,MAC) 的 算法 ;二 是 发 送 端 和 接收 端 必须 能 够 安全 分 发 用 于 生成 MAC 的 密 钥 。 为 
了 保证 完整 性 检测 过 程 安全 进行 ,发 送 端 与 接收 端 之 间 使 用 的 MAC 算法 和 MAC 密 钥 
需要 动态 协商 确定 ,不 能 事先 静态 配置 。 

4. 数字 签名 

防止 发 送 端 抵赖 曾经 发 送 过 的 消息 的 机 制 是 数字 签名 ,发 送 端 必须 对 发 送 的 消息 进 
行 数字 签名 ,接收 端 验 证 发 送 端的 数字 签名 后 ,再 对 消息 进行 处 理 。 实 现 数字 签名 的 前 提 
是 接收 端 具有 证 明 发 送 端 与 其 公 钥 之 间 绑 定 关 系 的 证 书 , 且 确定 该 证 书 是 有 效 证 书 。 


5.2 移动 支付 概述 


所 有 通过 移动 终端 (通常 是 智能 手机 ) 对 所 消费 的 商品 或 服务 进行 账单 支付 的 支付 方 
式 都 称 为 移动 支付 ,因此 ,以 智能 手机 为 终端 ,通过 网 上 银行 完成 的 支付 过 程 也 属于 移动 
支付 。 但 这 里 讨论 的 移动 支付 主要 局 限 在 类 似 微 信 支 付 这 样 的 第 三 方 支付 。 


521 移动 支付 定义 


移动 支付 是 通过 移动 终端 (通常 是 智能 手机 ) 对 所 消费 的 商品 或 服务 进行 账单 支付 的 
一 种 支付 方式 。 移 动 支付 分 为 近 场 支付 和 远程 支付 ,支持 近 场 支付 的 智能 手机 通常 需要 
具有 近 场 通信 (Near Field Communication, NFC) 功 能 ,这 种 智能 手机 可 以 像 公交 卡 一 样 


图 5.6 动态 口令 牌 
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刷卡 乘 车 。 支 持 远程 支付 的 智能 手机 通常 作为 移动 互联 网 的 终端 ,通过 发 送 远程 指令 完 
成 支付 过 程 。 目 前 人 们 普遍 使 用 的 微 信 支付 和 支付 宝 支付 都 属于 远程 支付 方式 。 但 从 远 
程 支付 方式 的 定义 看 ,以 智能 手机 为 终端 ,通过 网 上 银行 完成 的 支付 过 程 也 属于 远程 支付 
方式 。 因 此 ,这 里 的 移动 支付 主要 局 限 在 基于 智能 手机 的 类 似 微 信 支 付 和 支付 宝 支 付 这 
样 的 第 三 方 支付 。 

移动 支付 带 来 的 好 处 是 方便 和 快捷 ,由 于 智能 手机 可 以 随时 随地 上 网 ,因此 ,可 以 在 
任意 场合 进行 移动 支付 ,在 任何 应 用 场景 下 进行 实时 支付 。 


522 移动 支付 应 用 场景 


作为 基于 智能 手机 的 第 三 方 支付 , 微 信 支 付 和 支付 宝 支 付 的 功能 和 应 用 场景 有 着 太 
多 的 重 释 ,因此 ,这 里 以 微 信 支付 为 例 讨 论 基于 智能 手机 的 第 三 方 支付 的 应 用 场景 。 

1. 微 信和 支付 应 用 系统 结构 

微 信 支 付 应 用 系统 如 图 5. 7 所 示 , 微 信和 客户 端 微 信 支 付 系 统 和 商家 后 台 系 统 通 过 互 
联网 连接 在 一 起 。 商 家 门店 通过 商家 专用 网 络 与 商家 后 台 系 统 连接 在 一 起 。 微 信 支 付 系 
统 通 过 支付 网 络 与 各 个 微 信 支 付 系 统 支 持 的 银行 连接 在 一 起 。 用 户 进行 微 信 支 付 的 前 提 
是 微 信 钱包 中 有 足够 的 余额 或 者 微 信 已 经 绑 定 信用 卡 或 借 记 卡 。 








用 户 
人 重 一 c 

微 信 
客户 端 i 
支付 网 络 ) 一 攻 蝇 


微 信 支 银行 
付 系统 
5.7 微 信 支 付 应 用 系统 





2. 条 形 码 和 二 维 码 

微 信 支付 过 程 与 扫 码 密切 相关 ,因此 ,了 解 条 形 码 和 二 维 码 表示 信息 的 方式 ,有 助 于 
理解 微 信 支 付 过 程 。 

(1) 条 形 码 

条 形 码 (barcode) 是 将 宽度 不 等 的 多 个 黑 条 和 空白 按照 一 定 的 编码 规则 排列 ,用 以 表 
达 一 组 信息 的 图 形 标识 符 。 常 见 的 条 形 码 是 由 反射 率 相差 很 大 的 黑 条 (简称 条 ) 和 白条 
(简称 空 ) 排 成 的 平行 线 图 案 。 

计算 机 中 ,所 有 的 数字 ,字符 都 是 由 二 进 制 数 表示 的 ,用 不 同 的 二 进 制 数组 合 表示 不 
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同 的 数字 和 字符 的 过 程 称 为 编码 。 如 果 用 7 位 二 进 制 数 表示 十 个 不 同 的 数字 ,可 以 用 7 
位 二 进 制 数组 合 0001011 表示 数字 9, 用 7 位 二 进 制 数组 合 0100111 表示 数字 0。 因 此 ， 
用 条 形 码 表示 数字 和 字符 ,首先 需要 解决 一 位 二 进 制 数 的 0 和 1 的 表示 方式 。 目 前 存在 
多 种 表示 二 进 制 数 0 和 1 的 方式 ,一 种 方式 是 用 相同 宽度 的 条 表示 二 进 制 数 1, 用 相同 宽 
度 的 空 表 示 二 进 制 数 0, 如 图 5. 8(a) 所 示 。 另 一 种 方式 是 用 一 种 宽度 的 条 表示 二 进 制 数 
1, 用 另 一 种 宽度 的 条 表示 二 进 制 数 0, 表 示 二 进 制 数 1 的 条 的 宽度 是 表示 二 进 制 数 0 的 
条 的 宽度 的 整数 倍 ,通常 该 整数 为 2 或 3, 如 图 5.8(b) 所 示 。 


1 0 1 0 


(a) 一 种 二 进 制 数 (b) 另 一 种 二 进 制 数 
0 和 1 表示 方式 0 和 1 表示 方式 


图 5.8 两 种 二 进 制 数 0 和 1 的 表示 方式 


如 果 采 用 图 5. 8(a) 所 示 的 二 进 制 数 0 和 1 表示 方式 , 则 每 一 个 模块 的 宽度 等 于 表示 
-位 二 进 制 数 0 或 1 的 空 或 条 的 宽度 。 如 果 用 7 位 二 进 制 数 表示 数字 0 一 9 ,数字 9 对 应 
的 7 位 二 进 制 数组 合 为 0001011, 则 数字 9 对 应 的 条 形 码 如 图 5.9 所 示 。 图 5. 9(a) 所 示 
的 是 数字 9 对 应 的 7 个 模块 ,二 进 制 数 0 对 应 的 模块 是 空 ,二 进 制 数 1 对 应 的 模块 是 条 。 
实际 条 形 码 中 ,图 5. 9(a) 所 示 的 每 一 个 模块 的 边框 是 不 存在 的 ,因此 ,数字 9 对 应 的 条 形 


码 如 图 5. 9(b) 所 示 。 


(a) 数字 9 对 应 的 7 个 模块 (b) 数字 9 对 应 的 条 形 码 
图 5.9 数字 9 对 应 的 条 形 码 





实际 条 形 码 表示 的 信息 可 以 包含 多 个 数字 和 字符 ,因此 由 多 个 模块 组 成 ,其 中 不 仅 有 
用 于 表示 数字 和 字符 的 模块 组 合 ,还 有 用 于 表示 条 形 码 开始 .结束 和 用 于 分 隔 两 串 数字 的 
分 隔 符 的 模块 组 合 。 图 5. 10 所 示 是 EAN-13 码 条 形 码 模块 组 合 。 从 左 到 右 , 起 始 符 是 3 
位 二 进 制 数组 合 101 对 应 的 模块 , 左 侧 数据 区 是 用 于 表示 6 位 数字 的 42 个 模块 (每 一 位 
数字 对 应 7 个 模块 ) ,中 间 分 隔 符 是 5 位 二 进 制 数组 合 01010 对 应 的 5 个 模块 , 右 侧 数 据 
区 是 用 于 表示 5 位 数字 的 35 个 模块 , 校 验 字符 等 同 于 一 个 数字 ,对 应 7 个 模块 。 终 止 符 
与 起 始 符 相同 ,是 3 位 二 进 制 数组 合 101 对 应 的 模块 。 图 5. 11 所 示 的 是 EAN-13 码 条 形 
码 实例 ,下 面 是 该 条 形 码 表示 的 数字 组 合 。 数 字 6 是 前 置 码 , 数 字 901234 是 左 侧 数据 的 
6 位 数字 ,数字 56789 是 右 侧 数据 的 5 位 数字 ,数字 2 是 校 验 字 符 。 条 形 码 从 左 到 右 , 首 
先是 3 位 二 进 制 数 101 对 应 的 模块 ,然后 是 表示 数字 9 的 7 位 二 进 制 数 0001011 对 应 的 
模块 , 紧 接着 是 表示 数字 0 的 7 位 二 进 制 数 0100111 对 应 的 模块 ,以 此 类 推 。 
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二 
左 侧 | 起 | 左 全数 据 | 中 间 | 右 侧 数据 | 验 | 经 | 右 全 
空白 区 | 热 | 6 位 数字 ) | 分隔 符 | (5 位 数字 ) | 字 | 此 | 空 和 区 
符 窜 | 答 
模块 数 Il 3 42 5 35 7 3 7 


5.10 ”EAN-13 码 条 形 码 模块 组 合 


6 901234 567892 
图 5.11 EAN-13 码 条 形 码 实例 


(2) 二 维 码 

条 形 码 只 有 单个 方向 排列 的 模块 ,包含 的 模块 有 限 ,因此 ,表示 的 数字 和 字符 数量 也 
有 限 , 如 EAN-13 码 条 形 码 实际 表示 的 数字 只 有 11 位 。 二 维 码 有 着 水 平和 垂直 方向 排列 
41X41 模块 构成 的 矩阵 。 目 前 最 大 的 QR 码 二 维 码 是 版 本 40 的 QR 码 二 维 码 ,是 177X 
177 模块 构成 的 矩阵 。 和 矩阵 中 的 每 一 个 模块 可 以 表示 一 位 二 进 制 数 ,同样 用 条 表示 二 进 
制 数 1, 用 空 表 示 二 进 制 数 0。 三 个 角 上 的 位 置 探测 图 形 用 于 确定 QR 码 二 维 码 的 位 置 和 
方向 。 定 位 图 形 用 于 确定 水 平和 垂直 方向 模块 的 基准 位 置 ,校准 图 形 用 于 检测 QR 码 二 
维 码 的 中 心 坐 标 。 


25 位 置 探测 图 形 


定位 图 形 


校正 图 形 





版 本 6 
5.12 版 本 6 的 QR 码 二 维 码 
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版 本 6 的 QR 码 二 维 码 的 有 效 模块 数 是 1383 ,可 以 表示 1383 位 二 进 制 数 ,因而 可 以 
表示 用 1383 位 二 进 制 数 编码 后 的 数字 、 字 符 和 汉字 组 合 。 版 本 40 的 QR 码 二 维 码 的 有 
效 模 块 数 是 29648, 可 以 表示 29648 位 二 进 制 数 ,因而 可 以 表示 用 29648 位 二 进 制 数 编码 
后 的 数字 、 字 符 和 汉字 组 合 。 

3. 微 信 刷卡 支付 过 程 

(1) 刷卡 支付 步骤 

刷卡 支付 步骤 如 下 。 

@ 用 户 完 成 商品 选 购 后 ,由 商家 门店 生成 支付 订单 ,用 户 确认 支付 订单 中 的 金额 。 

@ 用 户 打开 微 信和 客户 端 ,完成 “我 “钱包 ”一 “刷卡” 操作 过 程 , 微 信 展示 条 形 码 /二 
维 码 , 如 图 5.13 所 示 。 

@ 商家 扫描 微 信和 客户 端 展 示 的 条 形 码 /二 维 码 。 如 果 需 要 验 密 , 则 微 信 客户 端 随后 
弹出 支付 密码 输入 框 ,否则 直接 显示 支付 成 功 信 息 和 扣除 金额 ,如 图 5. 14 所 示 。 

@ 商家 接收 到 支付 成 功 信息 后 ,将 商品 交付 给 用 户 。 








7 | LE 
Wl E 
[DB -一 
图 5.13 条 形 码 /二 维 码 图 5.14 支付 成 功 信息 


(2) 数据 交换 过 程 

微 信和 刷卡 支付 涉及 的 数据 交换 过 程 如 图 5. 15 所 示 。 完 成 微 信 客 户 端 * 我 >“ 钱 
包 ” 一 “刷卡” 操作 过 程 后 , 微 信和 客户 端 向 微 信和 支付 系统 发 送 微 信和 授权 码 生 成 请 求 , 微 信 支 
付 系统 接收 到 该 微 信 授 权 码 生成 请 求 后 ,生成 一 个 微 信 授 权 码 ,建立 微 信 授 权 码 与 微 信 账 
号 之 间 的 绑 定 ,然后 将 微 信 授 权 码 发 送 给 微 信 客 户 端 , 微 信 客户 端 显示 微 信 授 权 码 的 条 形 
码 和 二 维 码 。 商 家 门店 扫描 微 信 客 户 端 的 条 形 码 或 二 维 码 ,生成 并 向 商家 后 台 系 统 发 送 
支付 请 求 ,支付 请 求 将 商家 账号 .订货 信息 与 微 信 授权 码 绑 定 在 一 起 。 商 家 后 台 系统 将 支 
付 请 求 发 送 给 微 信 支 付 系统 。 微 信 支 付 系统 接收 到 支付 请 求 后 ,根据 微 信 授 权 码 确定 用 
户 账 号 ,请 求 银行 完成 用 户 账号 至 商家 账号 的 转账 过 程 。 银 行 完成 转账 过 程 后 ,向 微 信 支 
付 系统 发 送 支付 结果 ,支付 结果 中 包括 金额 .用户 账号 .商家 账号 和 订单 号 等 信息 。 微 信 
支付 系统 接收 到 银行 发 送 的 支付 结果 后 ,向 商家 后 台 系 统 和 微 信 客户 端 发 送 支 付 成 功 消 
息 , 支 付 成 功 消息 中 包括 金额 和 订单 号 等 信息 。 微 信 客 户 端 接收 到 支付 成 功 消息 后 ,显示 
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订单 号 .扣除 金额 等 信息 。 商 家 后 台 系 统 接收 到 支付 成 功 消息 后 ,向 商家 门店 发 送 支付 成 
功 消息 。 商 家 门店 接收 到 支付 成 功 消息 后 ,向 用 户 提交 商品 。 


微 信 加 商家 后 微 信 支 


记 六 客户 端 ] 外 付 系统 银行 


@ 生 成 并 展示 
订货 信息 
@ 生 成 并 展示 

@ 生 成 支 
| 人 请 @ 支 付 请 求 











@ 支 付 请 求 


7 1 @ 支 付 结果 
@ 支 付 成 功 | @ 冯 人 成 荔 | 。 支付 成功 





加 发 货 























图 5.15 微 信和 刷卡 支付 数据 交换 过 程 


4. 微 信 扫 码 支付 过 程 

(1) 扫 码 支付 步骤 

微 信 扫 码 支付 步骤 如 下 。 

Q@ 用 户 完 成 商品 选 购 后 ,选择 微 信 扫 码 支付 方式 ,由 商家 门店 生成 表示 统一 资源 定 
位 符 (Uniform Resource Locator, URL) 的 二 维 码 ,如 图 5.16 所 示 。 











图 5.16 二 维 码 和 “ 扫 一 扫 ” 界 面 


@ 用 户 打开 微 信和 客户 端 ,完成 “发 现 ”>“ 扫 一 扫 ” 操 作 过 程 ,扫描 商家 门店 生成 的 表 
示 URL 的 二 维 码 , 如 图 5. 16 所 示 。 

@ 微 信和 客户 端 显 示 “ 支 付 确认 ”界面 ,给 出 支付 金额 和 订单 号 等 信息 ,如 图 5. 17 
所 示 。 
@ 用 户 点 击 “ 立 即 支付 "后, 出现 “输入 支付 密码 ”界面 ,如 图 5. 18 所 示 , 用 户 输入 支 
付 密 码 , 完 成 支付 过 程 。 

@ 微 信 客户 端 显示 支付 成 功 信息 ,如 图 5. 19 所 示 ,支付 成 功 信息 中 包含 支付 金额 、 
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订单 号 等 ,商家 门店 接收 到 支付 成 功 消息 后 ,向 用 户 交付 商品 。 


se 


¥203.00 





图 5.17 “确认 支付 "界面 ”图 5.18 支付 密码 输入 界面 ”图 5.19 支付 成 功 界面 


(2) 数据 交换 过 程 

微 信 扫 码 支付 涉及 的 数据 交换 过 程 如 图 5. 20 所 示 , 当 用 户 在 商家 门店 完成 商品 选 购 
过 程 后 ,商家 门店 生成 订货 信息 ,其 中 包括 订单 号 、 商 品目 录 、 单 价 和 商品 总 价 等 。 商 家 门 
店 将 订货 信息 发 送 给 商家 后 台 系统 ,商家 后 台 系 统 生 成 预支 付 请 求 , 预 支付 请 求 中 包含 商 
家 账号 和 订货 信息 等 。 商 家 后 台 系 统 将 预支 付 请 求 发 送 给 微 信 支 付 系 统 。 微 信 支 付 系统 
根据 预支 付 请 求生 成 预支 付 交易 链接 , 即 URL。 然 后 将 预支 付 交 易 链接 发 送 给 商家 后 台 
系统 。 商 家 后 台 系 统 生 成 预支 付 交易 链接 对 应 的 二 维 码 ,将 预支 付 交易 链接 对 应 的 二 维 
码 发 送 给 门店 系统 。 门 店 系统 展示 预支 付 交易 链接 对 应 的 二 维 码 。 用 户 用 微 信 客户 端 
“ 扫 一 扫 ” 扫 描 商 家 门店 展示 的 预支 付 交易 链接 对 应 的 二 维 码 ,然后 将 二 维 码 扫 描 结果 发 
送 给 微 信 支 付 系统 。 微 信 支 付 系统 向 微 信 客 户 端 发 送 支付 验证 ,要 求 用 户 输入 支付 密码 。 


微 信 门店 商家 后 微 信 支 
pe 


用 户 Fr 】 台 系统 国 银行 


OD 生成 订货 信息 @ 预 支付 请 求 


时 下 





@ 生 成 预支 什 。 | 国志 支付 交 
@ 避 未 维 码 | 交易 甸 亡 _ 码 | 和 支付 交易 链 按 


回 二 维 码 扫描 结果 

















_ @ 支 付 验 证 | 
@ 支 付 授权 ~| @ 支 付 请 求 
@ 支 付 成 功 。 | 。 @ 支 付 成 功 “| 支付 结果 | 
@ 支 付 成 功 
四 发 货 广 























5.20 微 信 扫 码 支付 数据 交换 过 程 
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用 户 输入 支付 密码 后 , 微 信 客 户 端 向 微 信 支付 系统 发 送 支付 授权 。 微 信 支 付 系统 确定 微 
信 客 户 端 具有 支付 权限 后 ,根据 用 户 账 号 和 商家 账号 绑 定 的 银行 卡 , 请 求 银 行 完成 支付 过 
程 。 银 行 完成 支付 过 程 后 ,向 微 信 支付 系统 发 送 支付 结果 ,支付 结果 中 包括 支付 金额 .用 


户 账号 、 


商家 账号 和 订单 号 等 信息 。 微 信 支 付 系统 接收 到 银行 发 送 的 支付 结果 后 ,向 商家 


后 台 系 统 和 微 信 客户 端 发 送 支 付 成 功 消息 ,支付 成 功 消息 中 包含 支付 金额 和 订单 号 等 信 


息 , 商 家 


后 台 系 统 接收 到 支付 成 功 消息 后 ,向 商家 门店 发 送 支付 成 功 消息 。 商 家 门店 接收 


到 支付 成 功 消息 后 ,向 用 户 提交 商品 。 
523 移动 支付 面临 的 安全 威胁 
移动 支付 的 安全 取决 于 手机 、 登 录 密码 和 支付 密码 的 安全 。 面 临 的 安全 威胁 包括 手 


机 丢失 、 


登录 密码 泄露 .支付 密码 泄露 和 重 置 等 。 


1. 手机 委 失 

由 于 大 部 分 微 信 账号 与 手机 绑 定 ,因此 ,手机 是 保护 移动 支付 安全 的 第 一 道 屏障 。 一 
旦 外 人 获得 手机 ,只 要 其 能 够 获得 登录 密码 和 支付 密码 ,就 能 操作 微 信和 账户 。 

解决 手机 丢失 安全 问题 的 关键 是 能 够 阻止 外 人 使 用 手机 启动 具有 支付 功能 的 软件 ， 
如 微 信 客 户 端 。 

2. 重 置 密码 

如 果 用 户 忘 记 网 上 银行 的 登录 密码 和 支付 密码 ,需要 携带 身份 证 和 银行 卡 到 该 银行 
的 营业 部 重新 设置 密码 , 即 重 置 密码 。 微 信 支 付 由 于 不 存在 营业 部 ,因此 ,需要 提供 在 线 
重 置 密码 的 功能 。 在 线 重 置 密码 功能 为 外 人 重新 设置 密码 提供 了 可 能 。 

解决 重 置 密码 安全 问题 的 关键 是 , 重 置 过 程 中 的 保护 机 制 必须 保证 只 有 用 户 本 人 才 
能 完成 密码 重 置 过 程 。 

3. 私密 信息 泄露 

移动 支付 过 程 中 ,移动 终端 与 支付 后 台 之 间 需 要 经 过 移动 互联 网 传输 私密 信息 ,如 登 


录 密 码 、 


支付 密码 等 ,移动 互联 网 中 存在 大 量 无 线 信道 ,经 过 无 线 信道 传输 的 数据 容易 被 


嗅 探 和 截获 ,因此 ,经 过 移动 互联 网 传输 的 私密 信息 存在 泄露 的 可 能 。 

解决 私密 信息 泄露 安全 问题 的 关键 是 加 密 经 过 移动 互联 网 传输 的 私密 信息 。 

4. 算 改 信息 

黑客 能 够 截获 经 过 移动 互联 网 传输 的 数据 ,并 对 数据 进行 自 改 。 

解决 自 改 信息 安全 问题 的 关键 是 ,对 经 过 移动 互联 网 传输 的 数据 进行 完整 性 检测 ,使 
得 接收 端 能 够 发 现 数据 传输 过 程 中 发 生 的 变化 。 

5. 抵赖 曾经 发 生 的 事务 

在 发 生 纠纷 时 ,用 户 ,商家 可 能 否认 曾经 进行 的 操作 和 发 送 的 消息 。 

解决 抵赖 曾经 发 生 的 事务 的 关键 是 ,保证 移动 支付 过 程 中 交换 的 数据 是 无 法 抵赖 的 。 


524 解决 移动 支付 安全 威胁 的 思路 
1. 手机 保护 


使 月 





安全 的 锁 屏 机 制 , 如 密码 锁 屏 、 指 纹 锁 屏 等 ,使 得 外 人 无 法 使 用 手机 。 通 过 手机 
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安全 卫士 对 支付 软件 加 锁 , 使 得 外 人 无 法 启动 支付 软件 。 

2. 重 置 密码 安全 机 制 

在 重 置 密码 过 程 中 ,尤其 是 在 重 置 支付 密码 过 程 中 ,必须 有 相应 的 安全 机 制 保证 只 有 
用 户 本 人 才能 完成 支付 密码 的 重 置 过 程 。 因 此 ,除了 需要 提供 用 户 身份 证 号 、 绑 定 的 银行 
卡 卡号 外 ,还 需要 设置 用 户 本 人 才能 回答 的 问题 ,如 母亲 的 名 字 等 ,或 者 设置 接收 验证 码 
的 其 他 手机 号 码 ,该 手机 号 码 保证 只 有 用 户 本 人 才能 接收 到 验证 码 。 

3. 加 密 

移动 终端 与 支付 后 台 之 间 传 输 的 数据 需要 进行 加 密 , 因 此 ,每 一 次 登录 支付 后 台 的 过 
程 都 需要 完成 加 密 解 密 算法 和 加 密 解 密 密 钥 的 协商 过 程 。 

4. 完整 性 检测 

需要 对 移动 终端 与 支付 后 台 之 间 传 输 的 数据 进行 完整 性 检测 ,因此 ,每 一 次 登录 支付 
后 台 的 过 程 都 需要 完成 MAC 算法 和 MAC 密 钥 的 协商 过 程 。 

5. 数字 签名 

商家 需要 对 发 送 给 支付 后 台 的 支付 请 求 和 预支 付 请 求 进行 数字 签名 ,支付 后 台 只 有 
验证 商家 的 数字 签名 后 ,才能 对 支付 请 求 和 预支 付 请 求 进行 处 理 。 实 现 数字 签名 的 前 提 
是 ,支付 后 台 具 有 证 明 商 家 与 其 公 钥 之 间 绑 定 关系 的 证 书 , 且 确定 该 证 书 是 有 效 证 书 , 这 
一 过 程 在 商家 接 入 某 个 支付 后 台 时 完成 。 


5.3 ”网 上 银行 安全 机 制 


网 上 银行 是 银行 在 互联 网 上 设置 的 虚拟 柜台 ,用 户 可 以 基于 互联 网 技术 ,通过 该 虚拟 
柜台 完成 转账 过 程 。 因 此 ,网 上 银行 安全 机 制 必须 保证 用 户 登 录 的 是 网 上 银行 ,对 账户 进 
行 操作 的 是 该 账户 的 拥有 者 ,从 而 保障 用 户 与 网 上 银行 之 间 经 过 互联 网 传输 的 数据 的 保 


53.1 TLSSSL 


传输 层 安 全 (Transport Layer Security, TLS)/ 安 全 插口 层 (Secure Socket Layer， 
SSL) 是 一 个 复杂 的 协议 ,可 以 用 于 实现 双向 身份 鉴别 和 安全 参数 协商 过 程 , 本 节 主 要 讨 
论 其 基本 思路 。 

1. 网 上 银行 身份 鉴别 

网 上 银行 需要 具备 认证 中 心 颁发 的 证 书 , 证 书 用 于 证 明 网 上 银行 与 其 公 钥 PKB 之 间 
的 绑 定 关系 。 如 果 公 钥 PKB 与 网 上 银行 之 间 的 绑 定 关系 已 经 得 到 权威 机 构 一 认证 中 
心 的 证 明 , 网 上 银行 只 要 证 明 拥 有 公 钥 PKB 对 应 的 私 钥 SKB 即 可 证 明 自 己 的 身份 。 

如 图 5. 21 所 示 ,用 户 访问 网 上 银行 的 过 程 分 为 若干 阶段 。 第 一 阶段 是 双方 约定 加 密 
解密 算法 和 MAC 算法 的 过 程 ,这 里 假定 双方 约定 的 加 密 算法 为 对 称 密 钥 加 密 算法 AES， 
MAC 算法 为 HAMC-MD5-128。 

第 二 阶段 用 于 证 明 网 上 银行 身份 并 分 发 对 称 密 钥 KK。 网 上 银行 向 用 户 发 送 证 书 , 用 
户 证 实证 书后 ,生成 对 称 密 钥 K 和 随机 数 R, 并 向 网 上 银行 发 送 随机 数 R 和 Eprs (K), 其 
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银行 证 书 

用 户 网 上 银行 的 

公 钥 是 PKB 
a CA 签名 











AES, HMAC-MD5-128 
AES, HMAC-MD5-128 
- | 


L 证 书 
R，Epka(K) 
AESEk(R) 


图 5.21 身份 鉴别 和 安全 参数 协商 过 程 




















中 EE 是 RSA 加 密 算 法 ,PKB 是 网 上 银行 的 公 钥 。 网 上 银行 接收 到 随机 数 R 和 Eprks (K) 
后 ,首先 解密 出 密 钥 K, 即 K== Dsks (Eprs(K)), 其 中 DD 是 RSA 解密 算法 ,SKB 是 网 上 银 
行 的 私 钥 ,与 公 钥 PKB 一 一 对 应 。 网 上 银行 随后 用 对 称 密 钥 K 和 AES 加 密 算法 AESE 
对 随机 数 R 进行 加 密 , 生 成 密 文 AESEk (R) ,并 将 密 文 AESEk(R) 发 送 给 用 户 。 用 户 用 
AES 解密 算法 AESD 和 对 称 密 钥 K 对 密 文 进行 解密 ,还 原 出 明文 R'= AESDx (AESEx 
(R)) ,如 果 R' 等 于 随机 数 R, 则 表示 网 上 银行 已 经 解密 出 对 称 密 钥 ,而 网 上 银行 解密 出 
对 称 密 钥 K 的 前 提 是 拥有 PKB 对 应 的 私 钥 SKB, 因 此 ,一 旦 R'=AESDx (AESEx (R))=R， 
网 上 银行 的 身份 便 得 到 确认 。 

实际 应 用 过 程 中 ,用 户 和 网 上 银行 通常 以 为 密 钥 种 子 , 分 别 生 成 用 于 加 密 数 据 的 
加 密 密 钥 和 用 于 生成 MAC 的 MAC 密 钥 ,这 里 为 简单 起 见 , 直 接 用 K 作为 加 密 密 钥 和 
MAC 密 钥 。 

2. 数据 加 密 和 完整 性 检测 

用 户 和 网 上 银行 约定 加 密 算法 AES、MAC 算法 HAMC-MD5-128 加密 密 钥 K 和 
MAC 密 钥 K 后 ,可 以 对 用 户 和 网 上 银行 之 间 传 输 的 数据 进行 加 密 和 完整 性 检测 。 

数据 加 密 和 完整 性 检测 过 程 如 图 5. 22 所 示 。 发 送 端 根 据 数据 生成 MAC(MAC= 
HMAC-MD5-128xk (数据 ))。 数 据 和 MAC 的 串 接 结果 作 为 明文 (明文 = 数据 | MAC)， 
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图 5.22 加 密 和 数据 完整 性 检测 过 程 
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对 明文 加 密生 成 密 文 ( 密 文王 AESErx (数据 | MAC) ) ,发 送 端 向 接收 端 发 送 密 文 。 

接收 端 接收 到 密 文 后 ,还 原 出 明文 (明文 二 AESDk (AESEx (数据 ‖ MAC))) ,从 明文 
中 分 离 出 数据 ,根据 数据 生成 MAC' (MAC'=HMAC-MD5-128k (数据 )) ,如 果 MAC' 等 
于 从 明文 中 分 离 出 的 MAC, 则 表示 数据 在 传输 过 程 中 没有 被 算 改 ,数据 完整 性 检测 成 
功 , 如 果 MAC' 不 等 于 从 明文 中 分 离 出 的 MAC, 则 表示 数据 在 传输 过 程 中 发 生 改 变 , 数 据 
完整 性 检测 失败 。 

3. USB Key 与 用 户 身份 鉴别 

用 户 登录 网 上 银行 完成 支付 过 程 需要 提供 账号 、 登 录 密码 和 支付 密码 ,这 些 私密 信息 
本 身 就 是 用 户 身份 标识 符 , 因 为 在 正常 情况 下 ,只 有 用 户 本 人 才能 提供 这 些 私密 信息 。 由 
于 黑客 可 以 通过 钓鱼 网 站 骗取 这 些 私 密 信息 ,因此 存在 泄露 这 些 私 密 信息 的 可 能 。 一 旦 
这 些 私密 信息 被 泄露 ,黑客 可 以 冒充 用 户 完成 支付 过 程 和 其 他 转账 操作 。 

为 了 提高 网 上 银行 的 安全 性 ,用 户 在 开通 网 上 银行 时 ,不 仅 需 要 设置 登录 密码 和 支付 
密码 ,银行 还 需 提供 USB Key。USB Key 是 一 个 智能 卡 , 不 仅 有 存储 功能 ,还 有 运算 功 
能 。USB Key 中 存放 两 部 分 信息 ,如 图 5. 23 所 示 ,一 是 银行 颁发 的 用 于 证 明 用 户 账号 与 
公 钥 之 间 绑 定 关系 的 证 书 ,二 是 公 钥 对 应 的 私 钥 。 这 里 假定 与 用 户 账户 绑 定 的 公 钥 是 
PKU, 对 应 的 私 钥 是 SKU 。 

如 图 5. 23 所 示 , 当 用 户 登录 网 上 银行 完成 支付 过 程 时 ,网 上 银行 需要 鉴别 用 户 身 份 ， 
用 户 首先 向 网 上 银行 发 送 存放 在 USB Key 中 的 证 书 , 由 网 上 银行 对 证 书 进行 验证 。 当 用 
户 向 网 上 银行 发 送 消息 时 ,用 户 需要 对 消息 进行 数字 签名 ,消息 P 的 数字 签名 是 
Dsru (MD5(P)), 其 中 DD 是 RSA 解密 算法 ,SKU 是 与 用 户 账户 绑 定 的 公 钥 PKU 对 应 的 
私 钥 ,MD5 是 报 文摘 要 算法 。 网 上 银行 确定 该 消息 的 发 送 者 是 拥有 该 账户 的 用 户 后 , 才 
对 消息 进行 处 理 。 网 上 银行 通过 验证 数字 签名 确定 该 消息 的 发 送 者 是 否 是 拥有 该 账户 的 
用 户 ,如果 Epru (数字 签名 ) 二 MD5(P) , 则 意味 着 数字 签名 是 Dsksu(MD5(P))(Enku (Dsku 
(MD5(P))) 二 MD5(P))。 由 于 只 有 拥有 USB Key 的 用 户 才能 生成 Dskxu(MD5(P)), 因 
此 ,确定 能 够 生成 数字 签名 Dsku (MD5(P)) 的 用 户 就 是 账号 拥有 者 。 
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图 5.23 用 户 身份 鉴别 过 程 


为 了 防止 木马 病毒 窃取 USB Key 中 的 私 钥 , 因 
此 私 钥 是 不 可 读 的 ,需要 由 USB Key 完成 数字 签名 SKU 
的 生成 过 程 。USB Key 生成 数字 签名 的 过 程 如 USB Key 
图 5.24 所 示 。 由 于 私 钥 是 不 可 见 的 ,因此 ,黑客 无 图 5.24 USB Key 生成 数字 签名 过 程 
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法 通过 木马 病毒 和 间谍 软件 窃取 私 钥 , 私 钥 的 安全 性 得 到 保证 。 

增加 USB Key 和 用 户 身份 鉴别 过 程 后 ,即使 黑客 获得 账号 .登录 密码 和 支付 密码 ,在 
没有 获得 USB Key 的 情况 下 ,黑客 仍然 无 法 完成 支付 过 程 。 

4. 移动 终端 和 数字 证 书 

如 果 用 户 用 移动 终端 登录 网 上 银行 ,一 般 不 使 用 USB Key, 而 是 下 载 和 安装 数字 证 
书 , 安 装 数字 证 书 的 同时 ,存储 数字 证 书 中 公 钥 对 应 的 私 钥 。 用 户 发 送 给 网 上 银行 的 证 书 
不 再 是 USB Key 中 的 证 书 ,而 是 安装 的 数字 证 书 。 用 户 直接 用 存储 的 私 钥 完成 为 发 送 给 
网 上 银行 的 消息 进行 数字 签名 的 过 程 。 由 于 证 书 和 私 钥 均 存储 在 移动 终端 中 ,因此 ,黑客 
有 可 能 通过 木马 病毒 盗 取证 书 和 私 钥 。 


532 其 他 鉴别 网 上 银行 身份 的 机 制 


黑客 骗取 用 户 网 上 银行 账户 .登录 密码 和 支付 密码 的 常用 手段 是 设置 钓鱼 网 站 ,伪造 
一 个 假 的 网 上 银行 引诱 用 户 进行 支付 过 程 。 用 户 可 以 通过 以 下 方法 判别 访问 的 网 上 银行 
是 否 是 黑客 设置 的 钓鱼 网 站 。 

1. 是 否 使 用 HTTPS 

用 户 用 HTTPS 访问 网 上 银行 时 , 才 会 运行 TLS/SSL 协议 ,此 时 用 户 才 会 对 网 上 银 
行进 行 身份 鉴别 。 在 增加 USB Key 的 情况 下 ,网 上 银行 也 对 用 户 进行 身份 鉴别 。 因 此 ， 
是 否 用 HTTPS 访问 网 上 银行 也 是 鉴别 网 上 银行 真 伪 的 方法 之 一 。 当 使 用 HTTPS 访问 
网 上 银行 时 ,网 上 银行 的 URL 是 以 https: // 开 头 的 。 

2. 欢迎 信息 

用 户 开通 网 上 银行 时 可 以 预 留 欢迎 信息 , 当 用 户 登录 网 上 银行 后 ,网 上 银行 会 在 醒目 
处 显示 用 户 预 留 的 欢迎 信息 。 由 于 用 户 可 以 预 留任 意 欢迎 信息 ,因此 ,完成 登录 过 程 后 ， 
是 否 出 现 用 户 预 留 的 欢迎 信息 也 是 鉴别 网 上 银行 真 伪 的 方法 之 一 。 


533 其 他 鉴别 用 户 身 份 的 机 制 


在 运行 TLS/SSL 协议 ,增加 USB Key 的 情况 下 ,即使 泄露 网 上 银行 的 账号 .登录 密 
码 和 支付 密码 ,也 能 保证 网 上 银行 账号 的 安全 。 网 上 银行 除了 USB Key 外 ,还 存在 以 下 
用 于 鉴别 用 户 身份 的 机 制 。 这 些 安全 机 制 同 样 可 以 在 网 上 银行 的 账号 .登录 密码 和 支付 
密码 已 经 泄露 的 情况 下 ,保证 网 上 银行 账号 的 安全 。 

1. 验证 码 

用 户 开通 网 上 银行 时 可 以 预 留 手 机 号 码 , 并 设置 验证 码 功 能 ,一 旦 设置 验证 码 功 能 ， 
在 进行 网 上 支付 时 ,网 上 银行 随机 生成 一 个 验证 码 , 并 将 该 验证 码 发 送 给 预 留 号 码 的 手 
机 。 用 户 只 有 在 输入 支付 密码 和 验证 码 的 情况 下 ,才能 完成 支付 操作 。 

2. 动态 口令 牌 

用 户 开通 网 上 银行 时 ,银行 为 用 户 配 发 一 个 如 图 5. 6 所 示 的 动态 口令 牌 ,该 动态 口令 
牌 与 网 上 银行 为 该 账户 绑 定 的 动态 口令 牌 一 致 ,每 隔 一 分 钟 ,两 个 动态 口令 牌 随机 产生 相 
同 的 6 位 口令 ,用 户 进行 网 上 支付 时 ,需要 输入 支付 密码 和 当时 动态 口令 牌 显 示 的 口令 ， 
只 有 在 输入 的 支付 密码 和 动态 口令 都 有 效 的 情况 下 ,才能 完成 支付 操作 。 
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需要 说 明 的 是 ,移动 终端 同样 可 以 通过 上 述 安 全 机 制 在 网 上 银行 的 账号 .登录 密码 和 
支付 密码 已 经 泄露 的 情况 下 ,保证 网 上 银行 账号 的 安全 。 


534 用 户 身份 鉴别 机 制 综述 


用 户 为 了 证 明 自 己 的 身份 ,需要 向 鉴别 者 提供 鉴别 者 能 够 确认 且 只 能 由 用 户 提供 的 
信息 。 这 些 信 息 包括 用 户 知道 的 信息 .用户 拥有 的 信息 和 用 户 自 身 的 特征 信息 。 用 户 知 
道 的 信息 通常 包括 各 种 密码 ,如 登录 密码 和 支付 密码 等 。 用 户 拥有 的 信息 通常 包括 通过 
手机 接收 到 的 验证 码 ,动态 口令 牌 中 的 口令 ,USB Key 中 的 私 钥 等 。 用 户 自身 的 特征 信 
息 通 常 包括 指纹 等 。 

良好 的 用 户 身份 鉴别 机 制 需要 用 户 同时 提供 多 种 用 于 证 明 用 户 身 份 的 信息 ,如 需要 
同时 提供 用 户 知道 的 信息 一 一 登录 密码 和 支付 密码 ,以 及 用 户 拥有 的 信息 一 一 验证 码 的 
身份 鉴别 机 制 。 其 实 , 用 户 通过 借 记 卡 在 ATM 机 上 取 钱 时 ,ATM 机 用 于 鉴别 用 户 身份 
的 身份 鉴别 机 制 也 是 一 种 需要 用 户 同时 提供 多 种 用 于 证 明 用 户 身 份 的 信息 和 实物 的 身份 
鉴别 机 制 , 它 需要 用 户 同时 提供 用 户 知道 的 信息 一 一 密码 ,以 及 用 户 拥 有 的 实物 一 一 借 
记 卡 。 


535 商家 与 网 上 银行 之 间 的 安全 机 制 


商家 与 银行 建立 联系 时 获取 银行 的 证 书 和 银行 为 其 颁发 的 证 书 。 商 家 获取 的 证 书 如 
图 5. 25 所 示 。 银 行 证 书 中 给 出 与 银行 绑 定 的 公 钥 PKB。 银 行为 其 颁发 的 证 书 用 于 证 明 
商家 名 称 与 其 公 钥 PKS 之 间 的 绑 定 关系 。 商 家 为 了 证 明 身 份 ,必须 拥有 与 公 钥 PKS 对 
应 的 私 钥 SKS。 

1. 商家 封装 消息 过 程 

假定 商家 与 银行 约定 的 加 密 算法 是 AES , 报 文摘 要 算法 是 MD5 ,商家 发 送 给 银行 的 
消息 的 封装 过 程 如 图 5. 26 所 示 。 

















































































































明文 明文 
银行 证 书 AESE =| 密 文 
- 数字 
网 上 银行 的 “MD5—=| D =| 签名 
公 钥 是 PKB 商家 
CA 签名 | “全 | 证 书 
商家 证 书 E SKS 数字 
商家 的 公 = KEY LE [| 信封 
钥 是 PKS | 
CA 签名 PKB 
图 5.25 商家 证 书 图 5.26 商家 封装 消息 过 程 


商家 发 送 给 银行 的 消息 明文 中 包括 商家 名 称 、 商 家 账号 、 用 户 完成 商品 选 购 后 生成 的 
订单 等 信息 。 商 家 首先 用 报 文摘 要 算法 MD5 对 消息 明文 进行 运算 ,得 到 消息 明文 的 报 
文摘 要 MD5( 明 文 )。 然 后 ,用 商家 的 私 钥 SKS 对 报 文摘 要 进行 解密 运算 ,得 到 商家 的 数 


Ne/ 信息 安全 实用 教程 


字 签 名 Dsks (MD5( 明 文 )) ,其 中 SKS 是 商家 证 书 中 公 钥 PKS 对 应 的 私 钥 ,MD5 是 报 文 
摘要 算法 ,D 是 RSA 解密 算法 。 

商家 将 消息 明文 商家 数字 签名 和 商家 证 书 串 接 在 一 起 ,然后 随机 生成 128 位 的 对 称 
密 钥 KEY, 用 AES 加 密 算法 (AESE) 和 对 称 密 钥 KEY 对 串 接 后 的 结果 进行 加 密 运 算 。 
得 到 密 文 AESExsy( 明 文 ‖ 商家 数字 签名 | 商家 证 书 ) ,其 中 | 是 串 接 操作 符 ,AESE 是 
AES 加 密 算 法 ,KEY 是 AES 加 密 解 密 过 程 使 用 的 对 称 密 钥 。 

用 银行 证 书 中 的 公 钥 PKB 对 对 称 密 钥 KEY 进行 加 密 运算 ,得 到 数字 信封 
Erpks (KEY) ,其 中 下 是 RSA 加 密 算法 ,KEY 是 AES 加 密 解 密 过 程 使 用 的 对 称 密 钥 ,PKB 
是 银行 的 公 钥 。 商 家 将 数字 信封 和 密 文 一 起 发 送 给 银行 。 

2. 银行 解密 、 商 家 身份 鉴别 和 消息 明文 完整 性 检测 过 程 

图 5. 27 所 示 的 是 银行 解密 密 文 ,鉴别 商家 身份 和 检测 消息 明文 完整 性 的 过 程 。 银 行 
为 了 读 取 消息 明文 ,首先 需要 得 到 对 称 密 钥 KEY。 由 于 数字 信封 是 用 银行 证 书 中 的 公 钥 
PKB 对 对 称 密 钥 KEY 进行 加 密 运算 后 得 到 的 结果 ,因此 ,用 公 钥 PKB 对 应 的 私 钥 SKB 
对 数字 信封 进行 解密 运算 ,就 能 得 到 对 称 密 钥 KEY,KEY 王 Dsrs( 数 字 信封 ) 一 Dske (Eprks 
(KEY)) ,其 中 D 是 RSA 解密 算法 ,SKB 是 公 钥 PKB 对 应 的 私 钥 。 由 于 只 有 银行 拥有 私 
钥 SKB, 因 此 保证 只 有 银行 能 够 得 到 对 称 密 钥 KEY 。 



































明文 IMD5 相等 ， 商 家 身份 鉴别 

”和 明文 完整 性 检测 成 功 

密 文 三 一 一 =| AESD Pl 。 不 相等 ， 商 家 身份 鉴别 
数 和 明文 完整 性 检测 失败 
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图 5.27 银行 解密 、 商 家 身份 鉴别 和 消息 明文 完整 性 检测 过 程 


得 到 对 称 密 钥 KEY 后 ,用 AES 解密 算法 (AESD) 和 对 称 密 钥 KEY 还 原 出 消息 明 
文 、 商 家 数字 签名 和 商家 证 书 ,明文 ‖ 商家 数字 签名 | 商家 证 书 二 AESD xkey( 密 文 ) 一 
AESD key (AESExey (明文 | 商家 数字 签名 | 商家 证 书 )) ,其 中 AESD 是 AES 解密 算法 ， 
KEY 是 AES 加 密 解 密 过 程 使 用 的 对 称 密 钥 KEY 。 

用 商家 证 书 中 的 公 钥 PKS 对 商家 数字 签名 进行 加 密 运 算 ,得 到 消息 明文 的 报 文摘 要 
MD5( 明 文 )。MD5 (明文 ) = Eprs (Dsxrs (MD5 (明文 )), 其 中 SKS 是 公 钥 PKS 对 应 的 
私 钥 。 

银行 也 用 报 文 摘要 算法 MD5 对 接收 到 的 消息 明文 进行 运算 ,得 到 结果 MD5 ( 明 
文 ) ,将 运算 结果 MD5( 明 文 )" 和 用 商家 证 书 中 的 公 钥 PKS 对 商家 数字 签名 进行 加 密 运 
算 后 得 到 的 运算 结果 进行 比较 。 如 果 相 同 , 则 证 明 商 家 数字 签名 是 对 消息 明文 的 报 文摘 
要 用 商家 证 书 中 公 钥 PKS 对 应 的 私 钥 SKS 进行 解密 运算 后 的 结果 ,商家 拥有 商家 证 书 
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中 公 钥 PKS 对 应 的 私 钥 SKS, 商 家 身份 得 到 证 实 , 同 时 也 证 明 消息 明文 在 传输 过 程 中 没 
有 被 损坏 或 自 改 。 

银行 接收 到 商家 发 送 的 消息 后 ,只 有 在 成 功 完 成 解密 、 商 家 身份 鉴别 和 消息 明文 完整 
性 检测 过 程 后 才 会 打开 网 上 银行 登录 页 面 ,供用 户 登 录 网 上 银行 。 


5.4 移动 支付 安全 机 制 


这 里 所 说 的 移动 支付 局 限 在 基于 移动 终端 实现 的 类 似 微 信 支付 这 样 的 第 三 方 支付 方 
式 ,因此 ,以 微 信 支 付 为 例 讨论 移动 支付 的 安全 机 制 , 这 些 安 全 机 制 同样 适用 于 支付 宝 支 
付 。 移 动 支付 安全 机 制 主要 用 于 保证 客户 端 与 服务 器 端 之 间 传输 的 数据 的 保密 性 和 完整 
性 ,以 及 丢失 手机 后 密码 重 置 的 安全 性 。 


541 微 信 登录 过 程 


微 信 客户 端 登录 微 信 服务 器 端的 过 程 如 图 5. 28 所 示 。 微 信 客 户 端 完 成 注册 过 程 后 ， 
下 载 微 信服 务 器 端 证 书 ,证 书 中 给 出 微 信服 务 器 端的 公 钥 PK。 因 此 , 微 信 客户 端 发 送 的 
登录 请 求 是 用 微 信服 务 器 端的 公 钥 PK 加 密 登 录 信息 后 生成 的 密 文 Epx (账号 | 登录 密 
码 上 Kl NONCE)。 其 中 ,E 是 RSA 加 密 算法 ,PK 是 微 信服 务 器 端 公 钥 , 账 号 是 微 信 账 
号 ,K 是 微 信和 客户 端 随机 生成 的 对 称 密 钥 ,NONCE 是 用 于 验证 微 信 服务 器 端 身份 的 随机 
数 。 微 信服 务 器 端 用 PK 对 应 的 私 钥 SK 还 原 出 明文 , 即 Dsk (RSAEek (账号 ‖ 登录 密码 
| KNONCE))= 账 号 ‖ 登录 密码 eK NONCE, 其 中 DD 是 RSA 解密 算法 。 如 果 确 定 
账号 和 登录 密码 有 效 , 则 完成 登录 过 程 ,同时 向 微 信 客户 端 回 送 一 个 用 对 称 密 钥 K 加 密 
随机 数 NONCE 后 生成 的 密 文 AESEx (NONCE) ,其 中 AESE 是 AES 加 密 算法 。 如 果 微 
信 客 户 端 用 AES 解密 算法 AESD 和 对 称 密 钥 K 解密 密 文 后 得 到 的 明文 是 NONCE, 则 
表明 微 信服 务 器 端 成 功 获 得 了 对 称 密 钥 K 和 随机 数 NONCE, 以 此 证 明 微 信服 务 器 端 拥 
有 PK 对 应 的 私 钥 SK, 微 信服 务 器 端的 身份 得 到 证 实 。 


微 信 微 信 
客户 路 服务 器 六 


日 


| Epk( 账 号 | 登录 密码 ||KIINONCE) 
AESEk(NONCE) 











图 5.28 微 信 登录 过 程 
需要 说 明 的 是 ,这 里 的 微 信服 务 器 端 等 同 于 图 5. 7 中 的 微 信 支付 系统 。 
542 微 信 加 密 和 完整 性 检测 过 程 


微 信 加 密 和 完整 性 检测 过 程 如 图 5. 29 所 示 , 微 信 客 户 端 与 微 信服 务 器 端 之 间 在 传 
输 数据 时 ,由 发 送 端 根 据 明 文 计 算出 报 文摘 要 ,然后 对 明文 和 报 文摘 要 进行 加 密 , 生 成 密 
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文 。 经 过 移动 互联 网 传输 的 是 密 文 。 接 收 端 接收 到 密 文 后 ,通过 解密 还 原 出 明文 和 报 文 
摘要 ,重新 根据 明文 计算 出 报 文摘 要 ,比较 重新 根据 明文 计算 出 的 报 文摘 要 和 解密 后 还 原 
出 的 报 文摘 要 ,如 果 两 者 相等 , 则 表示 数据 在 传输 过 程 中 没有 被 算 改 ,完整 性 检测 成 功 。 
否则 ,表示 数据 在 传输 过 程 中 发 生变 化 ,完整 性 检测 失败 。 
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(a) 发 送 端 加 密 过 程 (b) 接收 端 解密 和 完整 性 检测 过 程 
图 5.29 微 信 加 密 和 完整 性 检测 过 程 





商家 与 微 信 服务 器 端 之 间 的 安全 机 制 和 商家 与 银行 之 间 的 安全 机 制 相似 ,包括 双向 
身份 鉴别 ,数字 签名 .加密 和 完整 性 检测 等 。 


543 手机 丢失 保护 机 制 


1. 锁 屏 机 制 

不 同类 型 的 智能 手机 有 着 不 同 的 锁 屏 机 制 ,应 尽量 启用 安全 性 最 高 的 锁 屏 机 制 , 根 据 
安全 性 的 高 低 依次 选择 指纹 锁 屏 和 密码 锁 屏 安全 机 制 。 

2. 手势 密码 

可 以 设置 手势 密码 , 尽 可 能 地 增加 拾 机 者 成 功 完成 支付 过 程 的 困难 度 ,为 冻结 账号 赢得 
时 间 。 设 置 手势 密码 的 过 程 如 下 。 启 动 微 信 客 户 端 后 ,完成 “我 ”钱包 ”> 右上 角 入 口 ” 
一 “支付 管理 ”或 “密码 管理 ”操作 过 程 ,弹出 如 图 5. 30 所 示 的 支付 管理 或 密码 管理 配置 界 
面 ,启用 手势 密码 ,完成 支付 密码 验证 后 。 弹 出 如 图 5. 31 所 示 的 手势 密码 设置 界面 ,完成 手 
势 密码 的 设置 过 程 。 设 置 手势 密码 后 ,只 有 成 功 输入 手势 密码 ,才能 进入 “我 的 钱包 ”。 














实名 认证 
靖 输 入 原 手势 密码 

修改 支付 密码 

忘记 支付 密码 

手势 密码 [ @) 

修改 手势 密码 

数字 证 书 未 安装 

忘记 手势 灾 码 ? 





图 5.30 支付 管理 图 5.31 手势 密码 设置 
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3. 软件 加 锁 

对 软件 加 锁 一 般 需 要 安装 手机 安全 卫士 软件 。 选 择 安装 一 个 手机 安全 卫士 软件 , 通 
过 手机 安全 卫士 软件 对 微 信 客 户 端 的 “我 的 钱包 ”功能 进行 加 锁 。 一 旦 完成 加 锁 ,在 进入 
“我 的 钱包 ”时 ,要求 用 户 输入 预 设 密码 。 


544 ”密码 重 置 保护 机 制 


成 功 完成 微 信 支付 过 程 需要 三 者 合 一 , 即 手机 、 登 录 密 码 和 支付 密码 。 登 录 密 码 的 安 
全 功能 不 大 ,一 是 微 信和 客户 端 具 有 自动 登录 功能 ,只 要 用 户 不 是 通过 退出 登录 结束 上 一 次 
微 信 运行 过 程 ,那么 在 启动 微 信和 客户 端 后, 微 信和 客户 端 会 自动 完成 登录 过 程 ,无 须 输 入 登 
录 密 码 。 二 是 登录 密码 重 置 过 程 比 较 简单 ,如 果 微 信 账 号 绑 定 了 手机 号 , 则 在 输入 绑 定 的 
手机 号 后 , 微 信 服务 器 端 会 发 送 一 个 验证 码 , 通 过 该 验证 码 即 可 完成 登录 密码 的 重 置 过 
程 。 因 此 ,密码 重 置 保护 机 制 主要 是 指 支付 密码 重 置 保护 机 制 。 

1. 重 置 支付 密码 过 程 
重 置 支付 密码 的 过 程 需要 输入 以 下 信息 。 

。 微 信 绑 定 的 实名 。 

。 用 户 身 份 证 号 (用 户 姓名 为 微 信 绑 定 的 实名 ) 。 

。 银行 卡号 ( 持 卡 人 姓名 为 微 信 绑 定 的 实名 ) 。 

。 办 理 该 银行 卡 时 预 留 的 电话 号 码 。 

。 发 送 到 办 理 该 银行 卡 时 预 留 的 电话 号 码 上 的 验证 码 。 

2. 保护 私密 信息 

重 置 支付 密码 需要 输入 姓名 、 卡 号 和 身份 证 号 等 私密 信息 ,因此 ,最 好 不 要 在 手机 中 
记录 自己 的 姓名 ,卡号 和 身份 证 号 ,以 此 避免 让 拾 机 者 在 获得 手机 的 同时 ,得 到 姓名 ,卡号 
和 身份 证 号 等 私密 信息 。 

3. 保护 验证 码 

如 果 手 机 、 姓 名 .卡号 和 身份 证 号 四 者 合 一 ,就 能 重 置 支付 密码 ,支付 密码 的 安全 性 是 
无 法 保证 的 ,因为 相关 的 财务 和 付款 合同 中 都 会 出 现 有 关 人 员 的 姓名 ,卡号 和 身份 证 号 。 
安全 的 方法 是 ,在 银行 办 理 银行 卡 时 , 预 留 一 个 非 用 于 移动 支付 且 本 人 能 够 控制 的 手机 的 
号 码 。 由 于 重 置 支付 密码 时 需要 输入 发 送 到 该 手机 上 的 验证 码 , 因 此 ,在 泄露 其 他 私密 信 
息 的 情况 下 ,只 要 能 够 保证 该 验证 码 的 安全 性 ,外 人 就 无 法 重 置 支付 密码 。 

4. 增加 安保 问题 

为 了 增加 重 置 密码 的 安全 性 ,建议 在 第 一 次 设置 支付 密码 时 ,增加 安保 问题 和 答案 ， 
这 些 安保 问题 的 答案 应 该 具有 以 下 两 个 特点 : 一 是 这 些 答案 外 人 一 般 是 无 法 得 到 的 ;二 
是 用 户 本 人 是 无 须 记忆 这 些 答案 的 ,如 父亲 、 母 亲 的 名 字 和 生日 等 。 重 置 支付 密码 时 ,不 
仅 需 要 输入 姓名 ,卡号 .身份 证 号 和 验证 码 , 还 需要 回答 安保 问题 ,以 此 增加 重 置 密码 的 安 
全 性 。 


545 微 信 支 付 的 其 他 安全 机 制 


1. 大 数据 分 析 
微 信 支 付 系 统 能 够 通过 交易 记录 分 析 每 一 个 用 户 的 支付 习惯 ,一 旦 用 户 的 支付 行为 
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与 用 户 的 支付 习惯 发 生 较 大 偏离 , 微 信 支 付 系统 会 冻结 该 微 信 账 户 ,以 此 减轻 黑客 次 用 微 
信和 账户 造成 的 损失 。 


2. 


多 种 安全 机 制 集成 


腾讯 手机 管家 可 以 扫描 网 络 环境 和 支付 环境 ,清除 恶意 插件 与 病毒 ,对 微 信 支 付 功 能 
加 锁 等 ,以 此 为 微 信 支 付 提供 安全 保障 。 


Mama 


本 章 小 结 


网 上 购物 和 移动 支付 已 经 成 为 人 们 的 日 常 行为 ,网 上 购物 的 关键 仍然 是 支付 
过 程 。 

网 上 银行 是 通过 互联 网 完成 支付 过 程 的 主要 手段 。 

这 里 所 讲 的 移动 支付 局 限 在 类 似 微 信 支 付 这 种 基于 移动 终端 实现 的 第 三 方 支付 
方式 。 

网 上 银行 是 银行 在 互联 网 上 设置 的 虚拟 柜台 ,用 户 可 以 基于 互联 网 技术 ,通过 该 
虚拟 柜台 完成 转账 过 程 。 

网 上 银行 的 安全 机 制 必须 保证 : 用 户 登 录 的 是 网 上 银行 ,对 账户 进行 操作 的 是 该 
账户 的 拥有 者 ,经 过 互联 网 传输 的 数据 完整 ,保密 。 

移动 支付 是 通过 移动 终端 (通常 是 智能 手机 ) 对 所 消费 的 商品 或 服务 进行 账单 支 
付 的 一 种 支付 方式 。 

移动 支付 安全 机 制 必须 保证 客户 端 与 服务 器 端 之 间 传输 的 数据 的 保密 性 和 完整 
性 ,以 及 丢失 手机 后 重 置 密码 过 程 的 安全 性 。 


习 题 


电子 商务 中 的 支付 过 程 与 实体 商店 中 的 现金 支付 过 程 有 什么 不 同 ? 

电子 商务 带 来 的 好 处 是 什么 ? 存在 哪些 安全 隐患 ? 

网 上 银行 的 本 质 含义 是 什么 ? 为 什么 设立 网 上 银行 ? 

移动 支付 包括 哪些 要 素 ? 为 什么 说 移动 支付 是 一 场 支付 革命 ? 

网 上 银行 存在 哪些 安全 问题 ? 举例 说 明 一 个 网 上 银行 发 生 的 安全 事故 。 

.6 网 上 银行 除了 登录 密码 和 支付 密码 以 外 ,还 增加 了 许多 用 于 鉴别 用 户 身份 的 机 


nL 


制 ,这 些 机 制 可 以 用 于 微 信 这 样 的 基于 移动 终端 实现 的 第 三 方 支付 吗 ? 


5. 


7 如 果 手 机 在 手 , 那 么 有 没有 可 能 发 生 黑 客 骨 用 微 信 账户 进行 支付 的 事情 ? 请 简 


述 原因 。 


5. 


8 ”如果 手机 丢失 ,那么 有 什么 安全 措施 可 以 保证 拾 机 者 无 法 使 用 与 该 手机 绑 定 的 


微 信 账户 进行 支付 ? 


5. 


9 身份 证 号 和 卡号 的 保密 性 强 吗 ? 请 简 述 原因 。 
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5.10 普通 PC 登录 支付 宝 完成 转账 的 过 程 与 普通 PC 登录 网 上 银行 完成 转账 的 过 
程 有 什么 异同 ? 

5.11 移动 终端 登录 网 上 银行 完成 转账 的 过 程 与 普通 PC 登录 网 上 银行 完成 转账 的 
过 程 有 什么 异同 ? 

5.12 简 述 支付 宝 移动 支付 方式 下 的 安全 机 制 与 微 信 支 付 安全 机 制 的 异同 。 


女生 6 音 


数据 安全 技术 


数据 安全 技术 是 指 用 于 保障 存储 在 计算 机 和 手机 中 数据 的 保密 性 、 完 整 性 和 可 用 性 
的 技术 ,目前 常见 的 数据 安全 技术 包括 加 密 、 完 整 性 检测 ,访问 控制 和 备份 还 原 等 技术 。 


6.1 数据 安全 概述 


计算 机 和 手机 中 存储 着 大 量 用 户 的 私密 信息 ,由 于 这 些 私密 信息 对 用 户 十 分 重要 ,其 
至 关系 着 用 户 的 财产 安全 ,因此 也 成 了 黑客 攻击 的 目标 。 黑 客 通过 各 种 手段 窃取 , 自 改 和 
破坏 这 些 用 户 私密 信息 。 因 此 ,有 必要 对 存储 在 计算 机 和 手机 中 的 用 户 私密 信息 实施 
保护 。 


611 数据 安全 目标 


数据 安全 目标 是 保障 存储 在 计算 机 和 智能 手机 中 的 数据 的 保密 性 .完整 性 和 可 用 性 。 

1. 保密 性 

数据 保密 性 的 含义 有 两 个 : 一 是 不 会 因为 用 户 无 意 的 错误 操作 而 泄露 存储 在 计算 机 
和 智能 手机 中 的 私密 信息 ;二 是 保证 黑客 无 法 读 取 存 储 在 计算 机 和 智能 手机 中 的 私密 
信息 。 

2. 完整 性 

数据 完整 性 的 含义 有 两 个 : 一 是 保证 黑客 无 法 算 改 存储 在 计算 机 和 智能 手机 中 的 数 
据 ;二 是 保证 能 够 检测 出 黑客 对 存储 在 计算 机 和 智能 手机 中 的 数据 进行 的 精心 自 改 。 

3. 可 用 性 

数据 可 用 性 的 含义 有 三 个 : 一 是 保证 黑客 无 法 删除 存储 在 计算 机 和 智能 手机 中 的 数 
据 ; 二 是 保证 能 够 恢复 出 用 户 因为 无 意 的 错误 操作 而 删除 的 存储 在 计算 机 和 智能 手机 中 
的 数据 ;三 是 保证 能 够 恢复 出 因为 黑客 攻击 或 意外 情况 而 删除 的 存储 在 计算 机 和 智能 手 
机 中 的 数据 。 


612 数据 安全 问题 


1. 泄露 私密 信息 

(1) 木马 病毒 

计算 机 和 智能 手机 如 果 感 染 木马 病毒 ,木马 病毒 能 够 将 存储 在 计算 机 和 智能 手机 中 
的 私密 信息 ,如 照片 .通讯 录 、 短 信 , 甚 至 用 户 进行 网 上 银行 操作 时 输入 的 账号 .登录 密码 
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和 支付 密码 等 发 送 给 私密 信息 的 窃取 者 。 

(2) 黑客 人 侵 

黑客 能 够 利用 操作 系统 和 应 用 程序 的 漏洞 入 侵 计算 机 和 智能 手机 ,以 及 其 他 数据 存 
储 系统 ,窃取 用 户 的 私密 信息 。 如 黑客 人 侵 云 存储 系统 ,窃取 用 户 存储 在 云端 的 私密 信 
息 , 或 黑客 入 侵 视频 服务 器 ,窃取 家 庭 监 控 设备 录制 的 视频 等 。 

(3) 用 户 操 作 失 误 

用 户 由 于 没有 对 存储 在 智能 手机 中 的 私密 信息 进行 加 密 , 或 者 没有 对 存储 在 智能 手 
机 中 的 私密 信息 设置 访问 权限 ,导致 在 和 别人 共享 新 手机 的 快乐 时 ,泄露 了 存储 在 智能 手 
机 中 的 私密 信息 。 由 于 用 户 没有 正确 设置 访问 权限 ,导致 本 该 在 一 定 范围 内 共享 的 私密 
信息 被 传播 到 广大 范围 。 

2. 算 改 重要 数据 

(1) 病毒 

病毒 可 以 算 改 存储 在 计算 机 和 智能 手机 中 的 重要 数据 ,如 学 生成 绩 、 银 行 账户 余 
额 等 。 

(2) 黑客 人 侵 

黑客 能 够 利用 操作 系统 和 应 用 程序 的 漏洞 入 侵 计 算 机 和 智能 手机 , 算 改 数据 库 中 的 
重要 数据 ,以 及 存储 在 计算 机 和 智能 手机 中 的 重要 文档 。 

3. 丢失 重要 数据 

(1) 病毒 

病毒 的 破坏 动作 之 一 就 是 删除 存储 在 计算 机 和 智能 手机 中 的 文件 ,通过 删除 系统 文 
件 使 系统 崩溃 ;通过 删除 重要 的 文档 使 用 户 遭 受 损失 ;通过 删除 数据 库 中 的 重要 数据 使 应 
用 系统 无 法 正常 运行 。 

(2) 黑客 人 侵 

黑客 利用 操作 系统 和 应 用 程序 的 漏洞 入 侵 计算 机 和 智能 手机 后 ,同样 可 以 通过 删除 
系统 文件 使 系统 崩溃 ;通过 删除 重要 的 文档 使 用 户 遭 受 损失 ;通过 删除 数据 库 中 的 重要 数 
据 使 应 用 系统 无 法 正常 运行 。 

(3) 自然 灾害 

因为 丢失 ,损坏 计算 机 和 智能 手机 中 的 存储 设备 ,如 硬盘 ,闪存 等 ,导致 重要 数据 丢 
失 ; 因 为 计算 机 和 智能 手机 硬件 损坏 导致 存储 在 计算 机 和 智能 手机 中 的 重要 数据 丢失 ; 因 
为 发 生地 震 、 水 灾 、 火 灾 等 意外 情况 导致 计算 机 和 智能 手机 被 毁 ,从 而 丢失 存储 在 计算 机 
和 智能 手机 中 的 重要 数据 。 

(4) 用 户 操 作 失 误 

用 户 误 删 除 重要 文件 。 


613 解决 数据 安全 问题 的 思路 


1. 加 密 
加 密 过 程 如 图 6. 1 所 示 ,重要 数据 作为 明文 ,明文 经 过 加 密 算法 加 密 后 成 为 密 文 ,在 
计算 机 和 智能 手机 中 存储 密 文 。 不 同 的 加 密 算 法 有 着 不 同 的 密 钥 长 度 ,如 DES 的 密 钥 长 
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度 为 64 位 (真正 作为 密 钥 的 只 有 56 位 ,其 他 8 位 是 校 密码 

验 位 ),AES 的 密 钥 长 度 可 以 是 128 位 、192 位 或 者 256 

位 。 实 际 加 密 过 程 中 ,用 户 无 须 记 住 密 钥 ,只 需要 记 住 扩展 函数 

作为 密码 的 一 串 字符 串 , 由 扩展 函数 将 密码 转换 为 加 密 1 

算法 需要 的 密 钥 。 明文 一 一 | 加 密 算法 | ~ 密 文 
2. 完整 性 检测 图 6.1 加 密 过 各 


重要 文件 ,尤其 是 可 执行 程序 ,通常 需要 给 出 它 的 

报 文摘 要 ,图 6.2 所 示 就 是 可 执行 文件 PacketTracer71_32bit_setup_signed. exe 根据 不 
同 报 文摘 要 算法 得 出 的 报 文摘 要 。 图 6. 2 中 分 别 给 出 了 根据 报 文摘 要 算法 MD5 和 
SHA-1 计算 出 的 报 文摘 要 ,其 中 根据 MD5 计算 出 的 报 文摘 要 位 数 是 128 位 ,图 6. 2 中 用 
32 个 十 六 进 制 数 表示 。 根 据 SHA-1 计算 出 的 报 文摘 要 位 数 是 160 位 ,图 6. 2 中 用 40 个 
十 六 进 制 数 表示 。 

File : PacketTracer71_32bit_setup_signed.exe (Windows 7, 8.1, 10) 

File size : 123.8MB 


MDS : 4F694BC441C8ACD462B16AA111A10550 
SHA-1 : 2C700E34B5F710CFFCB78F7391810BBAE0CF98DF 


图 6.2 文件 和 文件 的 报 文摘 要 


为 了 检测 某 个 文件 在 存储 过 程 中 是 否 被 算 改 ,需要 对 文件 进行 报 文摘 要 运算 ,并 将 运 
算 结 果 与 该 文件 的 原始 报 文摘 要 比较 ,如 果 相同 , 则 表示 该 文件 没有 被 自 改 ,完整 性 检测 
成 功 。 和 否则 ,表示 该 文件 已 经 被 自 改 ,完整 性 检测 失败 。 完 整 性 检测 过 程 如 图 6. 3 所 示 。 
一 般 在 发 布 某 个 可 执行 文件 的 同时 ,发 布 该 文件 的 报 文摘 要 。 

















相等 ， 完 整 
性 检测 成 功 
文件 一 一 =| MD 
文件 报 文摘 要 
不 相等 ， 完 束 
性 检测 失败 


图 6.3 完整 性 检测 过 程 


3. 访问 控制 

访问 控制 是 指 通过 对 数据 设置 访问 权限 ,只 允许 授权 访问 数据 的 用 户 按照 权限 访问 
该 数据 的 控制 过 程 。 访 问 权限 中 给 出 了 每 一 个 授权 用 户 允 许 对 数据 进行 的 操作 ,这 些 操 
作 包 括 读 、 写 ,运行 和 管理 等 。 访 问 控制 过 程 如 图 6.4 所 示 。 

实施 访问 控制 ,一 是 需要 唯一 标识 每 一 个 用 户 , 二 是 需要 对 所 有 实施 访问 控制 的 数据 
配置 访问 权限 。 当 某 个 用 户 需要 访问 某 个 数据 时 ,首先 需要 对 用 户 进 行 身份 鉴别 ,确定 用 
户 身 份 后 ,检查 为 该 数据 配置 的 访问 权限 ,确定 该 用 户 是 否 具有 对 该 数据 实施 当前 访问 操 
作 的 权限 ,如 果 有 , 则 完成 用 户 对 该 数据 的 访问 过 程 ,否则 拒绝 用 户 对 该 数据 的 访问 操作 。 
例如 用 户 A 需要 改写 某 个 文件 ,系统 首先 通过 身份 鉴别 确定 是 用 户 A, 然 后 通过 检查 该 
文件 的 访问 权限 确定 是 否 允许 用 户 A 对 该 文件 进行 写 操作 ,如 果 是 , 则 允许 用 户 A 完成 
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授权 
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6.4 访问 控制 过 程 














改写 过 程 ,否则 拒绝 用 户 A 对 该 文件 的 写 操作 。 

4. 备份 和 还 原 

备份 是 指 将 同一 数据 同时 存储 多 份 的 过 程 ,如 用 U 盘 复 制 主机 中 文件 的 过 程 就 是 备 
份 该 文件 的 过 程 。 还 原 是 指 恢复 存储 介质 中 已 经 删除 的 数据 的 过 程 。 

5. 保密 性 保障 机 制 

保障 数据 保密 性 的 机 制 有 加 密 和 访问 控制 。 加 密使 得 黑客 窃取 的 是 加 密 数 据 后 的 密 
文 ,如 果 没 有 加 密 时 输入 的 密码 , 则 黑客 无 法 通过 解密 密 文 获得 数据 明文 。 访 问 控 制 使 得 
黑客 无 法 对 数据 实施 访问 ,从 而 无 法 读 取 数 据 。 

6. 完整 性 保障 机 制 

保障 数据 完整 性 的 机 制 有 访问 控制 .完整 性 检测 ,备份 。 访 问 控制 使 得 黑客 无 法 对 数 
据 实 施 访问 ,从 而 无 法 修改 数据 。 完 整 性 检测 可 以 检测 出 已 经 被 自 改 的 数据 ,从 而 弃 用 这 
些 已 经 发 生 改变 的 数据 。 备 份 使 得 可 以 用 备份 数据 覆盖 已 经 被 自 改 的 数据 。 

7. 可 用 性 保障 机 制 

保障 数据 可 用 性 的 机 制 有 访问 控制 .备份 和 还 原 。 访 问 控制 使 得 黑客 无 法 对 数据 实 
施 访问 ,从 而 无 法 删除 数据 。 备 份 和 还 原 使 得 可 以 用 备份 数据 取代 被 删除 的 数据 。 


6.2 Windows 7 用 户 管理 机 制 


Windows 7 创建 账户 的 过 程 就 是 创建 用 户 的 过 程 , 可 以 为 每 一 个 用 户 设置 不 同 的 应 
用 环境 和 不 同 的 权限 。 计 算 机 通过 登录 过 程 保证 只 有 合法 用 户 才能 使 用 计算 机 ,每 一 个 
用 户 登 录 计算 机 后 ,必须 按照 授权 访问 计算 机 中 的 资源 。 


621 创建 用 户 


完成 Windows 7 的 安装 过 程 后 ,系统 自动 生成 管理 员 账 户 (Administrator) 和 来 宾 账 
户 (Guest) 。 用 户 用 管理 员 账 户 登 录 后 ,可 以 创建 其 他 账户 , Windows 通过 创建 账户 创建 
合法 用 户 。 

完成 “开始 ”>“ 控 制 面板 ”操作 过 程 ,弹出 如 图 6. 5 所 示 的 查看 方式 为 “类 别 ” 的 “控制 面 
板 ” 界 面 。 单 击 “ 用 户 账户 和 家 庭 安全 ”选项 ,弹出 如 图 6. 6 所 示 的 “用 户 账户 和 家 庭 安 全 ” 界 
面 , 单 击 “ 添 加 或 删除 用 户 账户 ”选项 ,弹出 如 图 6.7 所 示 的 “管理 账户 ”界面 , 单 击 “ 创 建 一 个 
新 账户 ”选项 ,弹出 如 图 6. 8 所 示 的 “创建 新 账户 ”界面 。 在 “账户 名 ”输入 框 中 输入 账户 名 ， 
这 里 是 userA ,账户 类 型 可 以 选择 “标准 用 户 (S)” 和 “管理 员 (A)”, 它 们 的 区 别 在 于 默认 权 
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限 ,管理 员 登 录 后 ,几乎 可 以 对 计算 机 进行 任何 操作 。 标 准 用 户 登录 后 ,所 有 旁边 有 盾牌 标 
记 的 选项 都 是 无 法 操作 的 ,如 图 6. 5 中 的 “添加 或 删除 用 户 账户 ”选项 。 完 成 账户 名 输入 和 
账户 类 型 选择 后 , 单 击 “ 创 建 账户 ”按钮 ,完成 新 账户 的 创建 过 程 。 创 建新 账户 后 的 “管理 账 
户 ” 界 面 如 图 6.9 所 示 , 增 加 了 新 创建 的 账户 名 为 userA、 类 型 为 标准 用 户 的 账户 。 
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系统 和 安全 用 户 帐户 和 家 庭 安 全 
豆 看 多 的 计算 机 杖 志 下 网 运用 户 多 记 
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查看 有 各 条 印记 更 改色 生 或 花柱 入 法 
下 hi8 备 更 改 时 示 语 言 
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优化 梳 堪 时 示 
图 6.5 控制 面板 








GO sm , Fm» ES 3 














控制 面 本 主页 用 户 账户 
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硬件 和 声言 国 % 所 有 月 广 肌 四 家 长 控制 
程序 [| Windows CardSpace 
， 用 户 帐户 和 家 许 安 全 管理 用 于 二 录 到 联机 服务 的 信息 卡 
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图 6.6 用 户 账户 和 家 庭 安全 
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选择 希望 更 改 的 账户 


Administrator Guest 
管理 员 来 亮 账户 没有 启 月 


加 设置 长 控制 
转 到 二 “用户 账户 "页面 





图 6.7 管理 账户 








GO-E- 用 户 账 产 管理 账 疡 创建 条 账户 9]| ee P| 
文件 (| 妨 句 (6 查看 (工具 人 几 助 H) 


命名 账户 并 选择 账户 类 型 
该 名 称 棕 时 示 在 次 迎 居 莫 和 「 开 始 」 棵 级 上 。 
UserA 
加 标准 用 户 (5) 
标 从 几 户 用 户 可 以 使 用 大 杀 数 软件 凡 及 更 改 不 影响 其 他 用 户 或 计算 机 安全 的 系统 设置 


) 管理 器 A) 
管理 喘 有 计算 机 的 完全 访问 权 ， 可 以 任何 加 要 的 更 改 。 人 交通 知 设置 ， 可 能 全 要 下 管理 呈 在 信 出 会 影响 
其 他 用 户 的 更 收入 提供 斌 到 开光 人 。 


我 们 建议 使 用 强 密码 保护 每 个 账户 
为 什么 建 以 使 用 标准 账 产 7 

















6.8 创建 新 账户 
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GO , se Rr 用 广内 六 ， 管 理 4 四 四 | 本 7 
文件 们 。 鲍 号 日 ” 坦 看 M 工具 (帮助 HH) 


选择 希望 更 改 的 账户 


























Administrator UserA 
管理 员 标准 用 户 
Guest 

来 让 账户 没有 启用 








图 6.9 创建 新 账户 后 的 管理 账户 


622 设置 密码 


通常 通过 用 户 名 和 密码 鉴别 用 户 身 份 ,因此 ,需要 为 新 创建 的 账户 设置 密码 ,设置 密 
码 后 ,用 户 登录 时 需要 输入 用 户 名 和 密码 。 在 图 6. 9 所 示 的 “管理 账户 ”界面 中 单 击 新 创 
建 的 账户 userA ,弹出 如 图 6. 10 所 示 的 “更 改 账户 "界面, 单 击 “ 创 建 密码 ”选项 ,弹出 如 
图 6.11 所 示 的 “创建 密码 ”界面 ,输入 密码 并 确认 密码 后 , 单 击 “创建 密码 "按钮 ,完成 为 账 
户 userA 设置 密码 的 过 程 。 





OO mma , mR, WR KR “19|[ mw | 








文件 (有 编 锯 ( 和 日 查看 V) 工具 (7) 帮助 HH) 





更 改 userA 的 账户 
更 改 账户 名 称 














图 6.10 更 改 账户 
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Eile 
GO-E- 用 户 账户 ， 管理 几 户 ， 更 改 账户 、 创建 放 码 四 加 IE 二 3 有 | 





文件 |” 编辑 (日 ” 坦 看 工具 (]) 帮助 (H) 


为 userA 的 账户 创建 一 个 密码 





您 下 在 为 userA 创建 客 码 . 
如 果 执 行 六 操作 ， userA 格 壬 失 网 站 或 网 结 资源 的 所 有 EFS 加 大 文件 、 个 人 证 书 和 存 彤 的 密码 . 
若 要 送 旬 以 后 丢失 数据 , 请 要 求 userA 刺 作 一 张 客 码 重 各 软 鲍 - 


e000 
如 果 密码 包含 大 写字 母 ， 它 们 每 次 都 必须 以 相同 的 大 小 写 方式 输入 。 
如 何 创建 如 密码 





台 计 算 机 的 人 都 可 以 看 见 密码 提示 - 


什么 ? 











图 6.11 创建 密码 
当 用 户 以 用 户 名 userA 登录 时 ,系统 出 现 如 图 6. 12 所 示 的 登录 界面 ,系统 通过 用 户 
名 和 密码 完成 用 户 的 身份 鉴别 过 程 。 只 有 当 用 户 名 和 密码 都 正确 时 ,才能 完成 该 用 户 的 
登录 过 程 。 





6.12 userA 登录 界面 
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623 配置 账户 策略 


账户 策略 是 一 组 指导 账户 创建 密码 设置 和 登录 过 程 的 原则 ,对 于 密码 设置 过 程 , 这 
些 原则 对 密码 长 度 、 密 码 复 杂 度 、 密 码 更 新 周期 等 做 出 了 规定 。 对 于 登录 过 程 ,这 些 原则 
对 最 大 输入 错误 密码 次 数 (账户 锁定 阅 值 )、 密 码 输 入 错误 次 数 超过 账户 锁定 阅 值 时 锁定 
账户 时 间 等 做 出 了 规定 。 

完成 “开始 ”>“ 运 行 ”操作 过 程 后 ,弹出 如 图 6. 13 所 示 的 “运行 ”界面 ,在 “打开 ”输入 
框 中 输入 组 管理 策略 编辑 命令 gpedit. msc, 弹 出 如 图 6. 14 所 示 的 “组 管理 策略 编辑 ” 界 
面 。 完 成 “Windows 设置 ”安全 设置 ?一 "账户 策略 一 "密码 策略 ?操作 过 程 , 弹 出 如 
图 6. 15 所 示 的 “密码 策略 设置 "界面 。 





Windows 格 根 据 钨 所 锭 入 的 名 称 ,为 您 打开 相应 的 程序 、 
吾 文件 夹 、 文档 或 Internet 资源 . 





打开 (O): gpeditmsc 
图 使 用 管理 权限 创建 此 任务 















































图 6.14 组 管理 策略 编辑 


如 果 启 用 “密码 必须 符合 复杂 性 要 求 ”策略 , 则 在 设置 账户 密码 时 ,输入 的 密码 至 少 包 
含 6 个 字符 ,字符 中 需 同时 包含 以 下 四 种 字符 中 的 三 种 : 数字 ,大 写字 母 .小 写字 母 和 非 
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图 6.15 密码 策略 设置 


字母 字符 。 
双击 “密码 必须 符合 复杂 性 要 求 "策略 ,弹出 如 图 6. 16 所 示 的 启用 “密码 必须 符合 复 
杂 性 要 求 "策略 界面 , 勾 选 “ 已 启用 ”, 单 击 “确定 ”按钮 ,完成 启用 过 程 。 






































6.16 ”启用 “密码 必须 符合 复杂 性 要 求 "策略 


“密码 长 度 最 小 值 ?策略 用 于 设置 账户 密码 的 最 短 长 度 , 一 旦 设置 了 密码 长 度 最 小 值 ， 
设置 账户 密码 时 ,输入 的 密码 位 数 必须 大 于 等 于 密码 长 度 最 小 值 。 双 击 “ 密 码 长 度 最 小 
值 " 策 略 ,弹出 如 图 6. 17 所 示 的 设置 “密码 长 度 最 小 值 ?策略 界面 ,将 字符 个 数 输入 框 中 的 
0 改 为 非 0 数字 ,字符 个 数 输入 框 上 方 提示 由 “不 要 求 密码 ? 改 为 “密码 必须 至 少 是 ”, 单 击 
“确定 ”按钮 ,完成 “密码 长 度 最 小 值 ?策略 设置 过 程 。 

“密码 最 短 使 用 期 限 ? 策 略 用 于 设置 两 次 修改 密码 的 最 短 间 隔 , 通 过 设置 这 一 最 短 间 
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LE 用 ww ] 
图 6.17 设置 “密码 长 度 最 小 值 "策略 


隔 , 避 免 密码 被 黑客 修改 。 

“密码 最 长 使 用 期 限 ? 策 略 用 于 设置 持续 使 用 某 个 密码 的 最 长 期 限 , 每 一 个 账户 密码 
必须 在 最 长 期 限 内 至 少 完成 一 次 修改 密码 的 过 程 。 

“强制 密码 历史 ”策略 用 于 设置 密码 不 重复 的 历史 ,如 果 * 强 制 密码 历史 ”策略 设置 为 
非 零 数 nn, 则 系统 要 求 最 近 使 用 的 n 个 密码 不 能 重复 。 

如 果 启 用 “用 可 还 原 的 加 密 储存 密码 "策略 , 则 以 密 文 方式 存储 密码 ,但 可 以 将 密码 密 
文 还 原 为 密码 明文 。 如 果 禁 用 “用 可 还 原 的 加 密 储存 密码 ”策略 , 则 以 密码 的 报 文摘 要 方 
式 存储 密码 ,由 于 报 文摘 要 算法 的 单 向 性 ,因此 无 法 根据 密码 的 报 文摘 要 还 原 出 密码 。 如 
果 在 远程 登录 时 采用 挑战 握手 鉴别 协议 (Challenge Handshake Authentication Protocol， 
CHAP) 鉴 别 远 程 登录 用 户 的 身份 , 则 需要 启用 “用 可 还 原 的 加 密 储存 密码 "策略 。 

其 他 策略 的 启用 或 设置 过 程 与 启用 “密码 必须 符合 复杂 性 要 求 " 策 略 或 设置 “密码 长 
度 最 小 值 " 策 略 过 程 相似 ,不 再 著述 。 

在 图 6. 15 所 示 的 “密码 策略 "设置 界面 中 , 单 击 “ 账 户 锁定 策略 "选项 ,弹出 如 图 6. 18 
所 示 的 “账户 锁定 策略 "设置 界面 。 账 户 锁定 策略 控制 登录 某 个 账户 时 ,允许 用 户 连续 输 
人 错误 密码 的 次 数 ,以 及 在 用 户 连 续 输 入 错误 的 密码 的 次 数 达 到 阔 值 后 锁定 账户 的 时 间 。 

“账户 锁定 阔 值 策略 用 于 设置 登录 某 个 账户 时 ,允许 用 户 连续 输入 错误 的 密码 的 次 
数 。 双 击 * 账 户 锁定 阔 值 ?选项 ,弹出 如 图 6. 19 所 示 的 设置 “账户 锁定 阅 值 ”策略 界面 ,一 
且 将 无 效 登 录 的 次 数 从 0 改 为 非 0 值 ,无 效 登 录 次 数 输入 框 上 方 的 提示 将 由 “账户 不 锁 
定 ? 改 为 “在 发 生 以 下 情况 后 ,锁定 账户 ”, 单 击 * 确 定 ” 按 钮 ,完成 账户 锁定 冰 值 的 配置 
过 程 。 

“账户 锁定 时 间 ” 策 略 只 有 在 设置 “账户 锁定 阅 值 ”策略 后 才 起 作用 ,用 于 设置 在 登录 
某 个 账户 时 ,用户 连续 输入 错误 的 密码 的 次 数 达 到 阔 值 后 锁定 该 账户 的 时 间 。 如 果 设 置 
的 账户 锁定 阔 值 为 3 ,账户 锁定 时 间 为 15 分 钟 ,那么 当 用 户 登 录 某 个 账户 时 ,连续 3 次 因 
为 输入 错误 的 密码 而 登录 失败 后 ,该 账户 将 连续 15 分 钟 不 能 进行 登录 操作 。 

“ 重 置 账户 锁定 计数 器 ?策略 只 有 在 设置 “账户 锁定 阀 值 ? 策 略 后 才 起 作用 ,用 于 设置 
清 零 账户 锁定 计数 器 所 需要 的 时 间 。 登 录 某 个 账户 时 ,用 户 每 输入 一 次 错误 的 密码 ,账户 
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锁定 计数 器 将 增加 1 , 当 账户 锁定 计数 器 达到 为 “账户 锁定 阔 值 ”设置 的 值 时 ,该 账户 将 在 
“账户 锁定 时 间 ? 设 置 的 值 内 一 直 被 锁定 。 如 果 设 置 了 重 置 账户 锁定 计数 器 策略 , 则 经 过 
“ 重 置 账户 锁定 计数 器 "设置 的 时 间 后 ,该 账户 对 应 的 账户 锁定 计数 器 将 被 清 零 。 
J ea EE 


文件 (月 ” 提 作 (A) ”查看 (V) 帮助 (H) 
和 中 | 方圆 | 蕊 | 目 可 
































图 6.18 账户 锁定 策略 设置 
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图 6.19 设置 账户 锁定 阅 值 策 略 


624 删除 用 户 


在 如 图 6.9 所 示 的 “管理 账户 ”界面 中 单 击 需 要 删除 的 账户 ,如 userA, 弹 出 如 图 6. 10 
所 示 的 更 改 userA 账户 界面 , 单 击 “ 删 除 账户 ”选项 ,弹出 如 图 6. 20 所 示 的 确认 是 否 保 留 
userA 文件 界面 ,如 果 选 择 保留 文件 , 则 Windows 7 将 保留 userA 的 相关 文件 。 单 击 “ 删 
除 文件 ?或 “保留 文件 ”按钮 ,弹出 如 图 6. 21 所 示 的 “确认 删除 ”界面 , 单 击 “ 删 除 账户 ” 按 
钮 ,完成 账户 的 删除 过 程 。 
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GO smses , Rm , EER ,BR 四 加 | 本 二 | 
文件 (站 ” 坊 纺 (E) ”查看 (V) “工具 (D) 帮助 (H) 











是 否 保留 UserA 的 文件 ? 


删除 userA 的 账户 前 ，Windows 会 自动 格 userA 的 点 而 和 文档 、 收 藏 、 音 乐 、 图 片 和 视频 文件 夹 的 内 容 
保存 到 点 而 上 一 个 名 为 "userA" 的 新 文件 夫 。 但 是 ，Windows 无 法 保存 userA 的 电子 部 件 和 其 他 设置 





RR |[ WN 























图 6.20 确认 是 否 保留 userA 文件 


| 


GO + Am , sem , Mem , Bs 四 加 P| 
文件 编外 查看 MV) 工具 (机 (H) 





确实 要 删除 UserA 的 账户 吗 ? 
Windows 将 抽 除 userA 的 所 有 文件 ,然后 训 除 userA 的 账户 

















图 6.21 确认 删除 账户 


6.3 Windows 7 数据 加 密 机 制 


Windows 7 本 身 具有 各 种 用 于 加 密 数据 的 安全 机 制 ,这 些 安全 机 制 能 够 保障 用 户 数 
据 的 保密 性 , 即 只 允许 授权 用 户 访问 加 密 后 的 数据 。 


63.1 EFS 


加 密 文 件 系统 (Encrypting File System,EFS) 可 以 对 除 系统 文件 和 系统 文件 夹 以 外 
的 其 他 文件 和 文件 夹 进行 加 密 , 加 密 文件 或 文件 夹 时 无 须 输 入 密码 或 密 钥 。 但 某 个 用 特 
定 账 户 登 录 的 用 户 , 如 果 登 录 后 对 某 个 文件 或 文件 夹 实 施加 密 , 则 只 有 在 用 同样 的 账户 登 
录 后 ,才能 访问 该 文件 或 文件 夹 。 

1. 加 密 原 理 

(1) 生成 RSA 密 钥 对 

第 一 次 对 文件 或 文件 夹 加 密 时 ,Windows 7 自动 为 当前 用 户 生 成 RSA 密 钥 对 ,这 里 
假定 RSA 公 钥 是 PKU,RSA 私 钥 是 SKU, 并 以 证 书 的 方式 证 明 当 前 用 户 与 公 钥 PKU 
之 间 的 绑 定 关系 。 

(2) 生成 对 称 密 钥 

Windows 7 为 每 一 个 加 密 的 文件 或 文件 夹 生成 一 个 对 称 密 钥 KEY ,根据 Windows 7 
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设 定 的 对 称 加 密 算法 E 和 密 钥 KEY 完成 对 文件 或 文件 夹 的 加 密 过 程 , 生 成 数据 密 文 
DC 二 Erey (文件 或 文件 夹 ) ,如 图 6. 22 所 示 。 

(3) 加 密 对 称 密 钥 

用 公 钥 PKU 对 对 称 密 钥 KEY 进行 加 密 , 生 成 密 钥 密 文 KC 一 RSAEeku (KEY) ,如 
图 6. 22 所 示 , 其 中 RSAE 是 RSA 加 密 算 法 。 

(4) 保存 密 文 

将 数据 密 文 DC 和 密 钥 密 文 KC 串 接 在 一 起 ,构成 密 文 C 王 DC | KC, 如 图 6. 22 所 
示 , 用 密 文 取代 加 密 的 文件 或 文件 夹 。 

2. 解密 密 文 过 程 

EFS 解密 过 程 如 图 6. 23 所 示 ,首先 需要 用 公 钥 PKU 对 应 的 私 钥 SKU 解密 出 加 密 
文件 或 文件 夹 的 对 称 密 钥 KEY, 即 KEY 王 RSADsku(RSAEku (KEY)), 其 中 RSAD 是 
RSA 解密 算法 ,SKU 是 公 钥 PKU 对 应 的 私 钥 。 

































































文件 或 
KEY 文件 夹 
1 | KC DC 
PKU 一 ~| RSAE | | E | 
1 
IC jc SKU 一 ~| RSAD | ~ DD 
| 
】 KEY | 
文件 或 
密 文 文件 来 
图 6.22 EFS 加 密 过 程 图 6.23 EFS 解密 过 程 


获得 对 称 密 钥 KEY 后 ,通过 解密 数据 密 文 获得 文件 或 文件 夹 的 明文 。 文 件 或 文件 
夹 二 Dkey (Erey (文件 或 文件 夹 )) ,其 中 D 是 对 称 加 密 算法 对 应 的 解密 算法 。 

3. 加 密 私 钥 过 程 

创建 每 一 个 账户 时 ,由 Windows 7 为 每 一 个 账户 分 配 一 个 安全 标识 符 (Security 
Identifiers,SID) 和 主 密 钥 MKEY , 主 密 钥 MKEY 由 账户 对 应 的 密码 (口令 ) 保 护 , 如 
图 6.24 所 示 。Windows 7 中 只 存储 账户 密码 的 报 文摘 要 ,因此 ,账户 密码 只 能 由 用 户 
输入 。 

如 图 6. 23 所 示 ,解密 密 文 的 关键 是 公 钥 PKU 对 应 的 私 钥 SKU, 因 此 ,需要 对 私 钥 
SKU 进行 保护 , 私 钥 SKU 由 主 密 钥 进行 加 密 , 如 图 6. 25 所 示 。 














账户 密码 
扩展 函数 MKEY 
1 | 
MKEY 加 密 算法 一 一 一 主 密 钥 密 文 SKU 加 密 算法 一 一 私 钥 密 文 




















图 6.24 加 密 主 密 钥 过 程 图 6.25 加 密 私 钥 过 程 
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4. 完整 的 解密 密 文 过 程 
完整 的 解密 过 程 如 图 6. 26 所 示 。 
账户 密码 


扩展 函数 私 钥 密 文 KC pc 


























主 密 钥 密 文 一 | 解密 算法 














= | 解 窗 
MKEY SKU 











文件 或 
文件 夹 


图 6.26 完整 解密 过 程 


(1) 当 用 户 成 功 登 录 某 个 账户 后 ,通过 登录 账户 时 输入 的 密码 ,解密 出 该 账户 的 主 密 
钥 MKEY。 

(2) 用 主 密 钥 MKEY 解密 出 私 钥 SKU。 

(3) 用 私 钥 SKU 解密 出 用 该 私 钥 对 应 的 公 钥 PKU 加 密 的 对 称 密 钥 KEY 。 

(4) 用 对 称 密 钥 KEY 解密 出 用 该 对 称 密 钥 加 密 的 文件 或 文件 夹 。 

5. 几 点 说 明 

关于 EFS 加 密 解密 过 程 , 有 以 下 几 点 说 明 。 

(1) 对 应 每 一 个 账户 ,有 着 一 对 RSA 私 钥 和 公 钥 ,该 对 私 钥 和 公 钥 在 第 一 次 加 密 文 
件 或 文件 夹 时 生成 。 

(2) 每 一 次 加 密 操 作 生 成 的 对 称 密 钥 KEY 是 不 同 的 ,该 对 称 密 钥 用 公 钥 PKU 加 密 
后 与 加 密 文件 或 文件 夹 后 生成 的 数据 密 文 存储 在 一 起 。 

(3) 某 个 用 特定 账户 登录 的 用 户 , 登 录 后 加 密 的 文件 只 有 在 用 原 账 户 登录 后 才能 完 
成 解密 过 程 。 

(4) 必须 保护 好 该 账户 加 密 操 作 时 生成 的 RSA 公 钥 和 私 钥 对 ,否则 将 无 法 解密 出 
密 文 。 

6. 同 机 不 同 账户 之 间 的 解密 过 程 

如 果菜 个 用 x 账户 登录 的 用 户 在 登录 后 对 指定 文件 或 文件 夹 实施 加 密 。 一 旦 同 机 用 
账户 y 登录 的 用 户 需 要 访问 该 被 加 密 的 文件 或 文件 夹 ,必须 在 用 账户 x 登录 的 情况 下 导 
出 证 书 和 私 钥 ,然后 再 用 账户 y 登录 的 情况 下 导入 证 书 和 私 钥 。 

如 果 某 个 用 特定 账户 登录 的 用 户 登录 后 对 指定 文件 或 文件 夹 实施 加 密 , 该 被 加 密 的 
文件 或 文件 夹 只 有 复制 到 同 机 另 一 个 新 技术 文件 系统 (New Technology File System 
NTFS) 后 才能 保留 加 密 状 态 。 因 此 ,EFS 保证 数据 安全 的 前 提 是 外 人 无 法 在 对 某 个 文件 
实施 加 密 的 账户 下 对 该 被 加 密 的 文件 或 文件 夹 进 行 操作 。 

7. EFS 操作 过 程 

(1) 查看 证 书 

如 果 没 有 在 某 个 账户 下 对 文件 或 文件 夹 进行 加 密 , 则 该 账户 下 通常 没有 个 人 证 书 。 
完成 “开始 ”一 “运行. .. ”操作 过 程 ,弹出 如 图 6. 27 所 示 的 “运行 ”界面 ,在 “打开 ”输入 框 中 
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输入 命令 certmgr. msc。 单 击 “ 确 定 ” 按 钮 ,弹出 如 图 6. 28 所 示 的 “证 书 管理 器 ”界面 ,可 
以 看 到 个 人 目录 下 没有 证 书 。 


7 Windows 格 根 据 您 所 锭 入 的 和 名称 ,为 您 打开 相应 的 程序 、 
La 文件 去 .文档 或 Internet 资源 . 





打开 (O): certmgr.msc 
国 使 用 管理 权限 创建 此 任务 






































和 中 | 放 辐 | | @ 区 | 目 可 
号 证 书 - 当前 用 户 对 象 类 型 








国 个 人 
>》 国 受信 任 的 根 证 书 颁 发 机 构 
b> 国 企业 信任 
> 国 中 级 证 书 掺 发 机 构 
> 国 Active Directory 用 户 对 象 

















er | 








图 6.28 查看 个 人 证 书 

(2) 加 密 文件 

选中 需要 加 密 的 文件 后 右 击 ,在 弹出 的 菜单 中 选择 “属性 ”, 弹 出 如 图 6. 29 所 示 的 * 文 
件 属性 ”界面 , 单 击 “高 级 ”按钮 ,弹出 如 图 6. 30 所 示 的 “高 级 属性 ”界面 , 色 选 “加 密 内 容 以 
便 保护 数据 (E) ”后 , 单 击 “ 确 定 ” 按 钮 ,弹出 如 图 6. 31 所 示 的 “加 密 警 告 " 界 面 , 勾 选 “ 只 加 
密 文件 (E) ”后 , 单 击 “ 确 定 ” 按 钮 ,完成 该 文件 的 加 密 过 程 。 

(3) 导出 证 书 

再 次 进入 “个 人 证 书 ” 界 面 ,已 经 生成 与 账户 名 同名 的 证 书 ,如 图 6. 32 所 示 。 选 中 
该 证 书 , 完 成 “操作 ”>“ 所 有 任务 ”>“ 导 出 ”操作 过 程 ,弹出 如 图 6. 33 所 示 的 “证 书 导 
出 向 导 ” 界 面 。 单 击 “ 下 一 步 ” 按 钮 ,弹出 如 图 6. 34 所 示 的 “导出 私 钥 界面 , 匀 选 “是 ， 
导出 私 钥 ”后 , 单 击 * 下 一 步 ?按钮 ,弹出 如 图 6. 35 所 示 的 “导出 文件 格式 ”界面 ,选择 默 
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四 可 


文件 类 型 :县 crosoft Word 文档 ( docx) 











打开 方式 TS 文字 [CD 
位 置 : Ci\Vsers\Adninistrator\Desktop 
大 小 12.2 玛 (12,543 字 节 ) 


占用 空间 : 。 16.0 8 (16, 384 字 节 ) 





健 时 间 ; 。 2017 年 12 月 6 日 星期 三 ， 下 午 4:37:19 
修改 时 间 : 。 2017 年 12 月 6 日 星期 三 ， 下 午 4:37:20 
访问 时 间 : 。 2017 年 12 月 6 日 星期 三 ， 下 午 4:37:20 








属性 固 R 访 o) 。 辐 隐 茂 0) 。。 [ 基 级 Da 




















| | [ERw ] 











图 6.29 文件 属性 


文件 属性 
回避 以 存档 文件 内 ) 
回 除了 文件 属性 外 ， 还 多 许 索引 此 文件 的 内 容 0) 


入 或 加 密 必 性 
回 革 缩 内容 以 便 节 首 磋 角 空 间 吕 ) 
团 加 密 内 容 以 全 保护 数据 E) 


[CC 榨 ][C 台 





图 6.30 勾 选 加 密 内 容 


日 加 晤 文件 及 其 父 文件 夫 推荐 ) D) 
回 只 加 密 文 件 吕 ) 





回 抬 终 只 加 密 文 件 内 [EE | 





图 6.31 义 选 只 加 密 文件 
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E23 
鸳 Administrator 


> 国 Active Directory 用 户 对 象 
> 国 受信 任 的 发 布 者 

> 国 不 信任 的 证 书 

> 国 第 三 方 根 证 书 侨 发 机 构 
b> 国 受信 任 人 

b 国 其 他 人 

> 国 智能 卡 受 信任 的 根 

















单 击 " 下 一 步 "继续 。 








上- 步 中 | 三 = 步 D> 

















图 6.33 开始 导出 证 书 


认 存 储 格 式 , 单 击 * 下 一 步 ? 按 钮 ,弹出 如 图 6. 36 所 示 的 输入 私 钥 保护 密码 的 界面 , 输 
和 人 私 钥 保 护 密码 , 单 击 * 下 一 步 ?按钮 ,弹出 如 图 6. 37 所 示 的 指定 导出 证 书 存储 路 径 的 
界面 ,输入 证 书 存储 路 径 。 需 要 说 明 的 是 ,备份 证 书 时 ,通常 将 证 书 备份 在 其 他 移动 介 
质 中 ,如 器 盘 。 单 击 “ 下 一 步 ”按钮 ,弹出 如 图 6. 38 所 示 的 “正在 完成 证 书 导 出 向 导 ” 界 
面 , 单 击 “ 完 成 ”按钮 ,弹出 如 图 6. 39 所 示 的 “导出 成 功 ” 界 面 , 单 击 “ 确 定 ” 按 钮 ,完成 证 
书 的 导出 过 程 。 
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和 如 果 要 将 私 钥 跟 证 书 一 起 号 出 ， 您 必须 在 后 面 一 页 上 键入 密 


您 想 将 私 钥 跟 证 书 一 起 号 二 13? 
加 是 ， 导 出 私 钼 GD) 
日 不 , 不 要 导出 私 钥 人 0) 











图 6.34 选择 导出 私 钥 





证 书 导出 向 导 


导出 文件 格式 
可 以 用 不 同 的 文件 格式 导出 证 书 * 





选择 要 使 用 的 格式 : 
DER 编码 二 进 制 X. 509 C CER) m) 
Base64 编码 X.509( CER) G) 
加 密 消息 语法 标准 - PRCS 亲 证 书 ( ?TB) CC) 
口 如 果 可 能 ， 则 数据 包括 证 书 路 径 中 的 所 有 证 书 0) 
加 个 人 信息 交换 - PECS #2C PFX) DB) 
如 果 可 能 ， 则 数据 包括 证 书 路 径 中 的 所 有 证 书 0 
回 如 果 导 出 成 功 ， 喇 除 私 钼 0 
回 导 出 所 有 扩展 属性 0) 
版 croseft 序列 化 证 书 存 贱 (SST) CY) 


了 前 正 书 立 件 格式 的 详细 信息 








[区 上 = 步 @)] 下 =- 步 m >] [取消 ] 














图 6.35 选择 证 书 存储 格式 


(4) 证 书 导入 过 程 

进入 “证 书 管理 器 "界面 ,选中 个 人 目录 ,完成 “操作 ”>“ 所 有 任务 ”>“ 导 入 ”操作 过 
程 ,弹出 如 图 6. 40 所 示 的 “证 书 导 和 向导” 界面 。 单 击 “ 下 一 步 "按钮 ,弹出 如 图 6. 41 所 示 
的 选择 证 书 存储 路 径 的 界面 ,输入 证 书 存 储 路 径 后 , 单 击 * 下 一 步 ? 按 钮 。 弹 出 如 图 6. 42 
所 示 的 输入 私 钥 保 护 密码 的 界面 ,输入 正确 的 私 钥 保 护 密码 后 , 单 击 “ 下 一 步 ”按钮 ,弹出 
如 图 6. 43 所 示 的 “证 书 存 储 " 界 面 ,输入 证 书 导入 路 径 后 , 单 击 “ 下 一 步 ” 按 钮 ,弹出 如 
图 6. 44 所 示 的 “正在 完成 证 书 导入 向 导 ” 界 面 , 单 击 “ 完 成 ”按钮 ,弹出 如 图 6. 45 所 示 的 
“导入 成 功 ” 界 面 , 单 击 “ 确 定 ” 按 钮 ,完成 证 书 的 导入 过 程 。 
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证 世 册 向 导 [¥] 





2 
要 保证 安全 ， 您 必须 用 密码 保护 私 钥 





室 码 虽 : 

8086 
输入 并 确认 密码 必需) C) 
oeeee 


(7 








图 6.36 输入 私 钥 保护 密码 








证 书 导出 向 导 [] 
要 导出 的 文件 
指定 要 导出 的 文件 名 。 
文件 名 中 ) 
Gi\asdf. pfx 








图 6.37 输入 证 书 存储 路 径 


632 BitLocker 


BitLocker 可 以 对 硬盘 分 区 进行 加 密 , 对 某 个 硬盘 分 区 加 密 后 ,所 有 在 该 硬盘 分 区 
下 创建 的 文件 和 文件 夹 自 动 完 成 加 密 过 程 。 第 一 次 访问 加 密 的 硬盘 分 区 时 需要 输入 
密码 。 

1. 加 密 解密 原理 

BitLocker 加 密 过 程 如 图 6. 46(a) 所 示 ,用户 输 入 的 密码 被 扩展 函数 扩展 为 加 密 算法 
要 求 的 密 钥 , 密 钥 和 分 区 数据 作为 Windows 7 指定 的 加 密 算法 的 输入 ,输出 是 加 密 后 的 
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图 6.38 完成 证 书 导出 


单 击 “下 一步" 继续 。 





ED 








图 6.40 开始 导入 证 书 
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证 导入 向 导 区] 





要 导入 的 文件 
指定 要 导入 的 文件 * 





文件 名 中 
Gi \asdf pfx ETTT 














注意 : 用 下 列 格式 可 以 在 一 个 文件 中 存 鳍 一 个 以 上 证 书 : 
个 人 信息 交换 - PRCS #42 (PPX, .P12) 
加 密 消息 语法 标准 - PRCS 条 证 书 ( FTB) 
此 erosoft 序列 化 证 书 存 信 ( SST) 


了 解 正 书 文件 格式 的 详细 信息 





[KES] > 








图 6.41 输入 证 书 存储 路 径 





证 书 导 入 向 导 国 


密码 
为 了 保证 安全 ， 已 用 密码 保护 私 钥 。 





为 私 钥 键入 密码 。 
密友 中): 


般 暴 和 如 果 启 用 这 个 选项 ， 每 次 应 用 程序 使 用 私 四 时， 您 都 全 
标志 此 密 钥 为 可 导出 的 密 钥 。 这 将 允许 您 在 稍 后 备份 或 传输 密 钥 0 。 
包括 所 有 扩展 属性 A)。 


了 解 保 护 私 外 的 更 多 信息 





= 








图 6.42 输入 证 书 保护 密码 


分 区 数据 密 文 。BitLocker 解密 过 程 如 图 6.46(b) 所 示 , 用 户 输入 的 密码 被 扩展 函数 扩展 
为 加 密 算法 要 求 的 密 钥 , 密 钥 和 加 密 后 的 分 区 数据 密 文 作为 Windows 7 指定 的 解密 算法 
的 输入 ,输出 是 分 区 数据 明文 。 

根据 用 户 输入 的 密码 生成 的 密 钥 可 以 存储 在 用 户 指定 的 文件 中 ,这 种 情况 下 ,如 果 用 
户 解密 分 区 时 忘记 密码 ,可 以 直接 从 存储 密 钥 的 文件 中 提取 密 钥 。 

2. BitLocker 操作 过 程 

(1) 加 密 分 区 

完成 “开始 ”>“ 控 制 面板 "操作 过 程 ,查看 方式 选择 “小 图 标 ”, 弹 出 如 图 6. 47 所 示 的 


\ Ve/ 信息 安全 实用 教程 


证 书 存储 
证 书 存储 是 保存 证 书 的 系统 区 域 。 





是 adows 可 以 自动 选择 证 书 存储 ， 或 者 您 可 以 为 证 书 指定 一 个 位 置 。 


日 根据 证 书 类 型 ， 自 动 选择 证 书 存 铺 0 
回 将 所 有 的 证 书 放 入 下 列 存 饥 P) 
证 书 存储 : 
个 人 











图 6.43 输入 证 书 导入 路 径 


正在 完成 证 书 导 入 向 导 


单 击 “ 完 成 ”后 将 导入 证 书 。 




















图 6.44 ”完成 证 书 导入 





图 6.45 证 书 导入 成 功 
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分 区 数据 一 一 | 数据 密 文 数据 密 文 一 一 >| 解密 算法 六 一 一 分 区 数据 


(b) 解密 过 程 
图 6.46 BitLocker 加 密 解密 过 程 

















(a) 加 密 过 程 

















| 
GO sms ， 所 有 控制 面板 项 ， | [|[ Bs nD 

文 H 有 “篇 和 日 查看 M) “工具 (得 肋 0) 

调整 计算 机 的 设置 查看 方式 “小 器 标 ~ 
二 36033 力 各 王 和 钥 BitLocker 更 动 器 ja 雪 加 Hash Player 

入 Internet 运 页 转 Reahtek 高 清白 吝 役 管理 器 旺 RemoteApp 和 点 面 连接 

图 windows cardspace 请 windows Defender 看 windows Update 

办 windows 防火 培 净 备份 和 下 原 fr 

[3 [= 性 所 项 

型 人 化 和 ET 内 [| 

赔 计 EE 沽 守 过 抽 全 由 和 

图 er 是 移 肛 管 理 器 © aa 

@ Ea 屿 EE [开始 | 昔 间 国 BuBf0ej 间 

由 和 三 设备 入 理 器 网 设备 各 打印 机 

De 了 B 加 有 1 

昌 油 0 区 域 图 标 国有 qu 第 网 络 和 共享 中 心 

国 位 置 和 其 他 传 和 器 国文 伯 关 渤 项 更 

图 国 性 能 信息 和 工具 ee 

EM 好 答 寻 关 5IR) 四 fo 虹 休 中 月 六 由 记 

Bt 大 让 I 具 生动 十 让 

也 地 水 


6.47 显示 BitLocker 功能 项 





“所 有 控制 面板 项 ”界面 , 单 击 “BitLocker 驱动 器 加 密 ” 选 项 ,弹出 如 图 6. 48 所 示 的 
“BitLocker 驱动 器 加 密 界 面 ,选择 需要 加 密 的 分 区 ,如 下 分 区 , 单 击 旁 边 的 “应 用 
BitLocker” 按 钮 ,弹出 如 图 6. 49 所 示 的 设置 解锁 密码 界面 , 匀 选 “使 用 密码 解锁 驱动 器 ”， 
输入 解锁 密码 。 单 击 * 下 一 步 ? 按 钮 ,弹出 如 图 6. 50 所 示 的 选择 密 钥 存储 方式 界面 ,选择 
“将 恢复 密 钥 保存 到 文件 (FE)”, 单 击 * 下 一 步 ?按钮 ,弹出 如 图 6. 51 所 示 的 指定 恢复 密 钥 
存储 文件 路 径 界 面 , 指 定 文件 路 径 后 , 单 击 “ 保 存 ” 按 钮 ,弹出 如 图 6. 52 所 示 的 密 钥 存储 文 
件 路 径 警告 界面 ,如 果 确 定 将 密 钥 文 件 存储 在 本 地 计算 机 中 , 则 单 击 “ 是 ”按钮 ,弹出 如 
图 6. 53 所 示 的 加 密 分 区 过 程 界面 ,完成 加 密 过 程 后 ,E 分 区 旁 自动 增加 加 密 标 志 ， 


图 6.54 所 示 。 
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图 6.48 显示 加 密 分 区 


© W ettocker 开动 En) 


GO , se , Fin , onocker EE Er 3 
文件 (篇 入 (查看 V) 工具 (帮助 (H) — -一 一 
= 通过 对 驱动 器 进行 加 刻 来 帮助 保护 您 的 文件 和 文件 夹 
BitLocker 到 动 功 加 放 有 动 于 但 止 对 存 鱼 在 下 面 旺 示 的 驱动 大 中 的 所 有 文件 进行 未 经 摇 各 的 访问 您 可 以 
正 时 使 用 计算 机 ,但 未 授权 用 户 无 法 该 到 或 使 用 息 的 文件 
启用 BiLocker 要 动 器 加 二 之 前 必须 了 解 的 信息 ? 
BitLocker 要 动 基 加密 - 硬 生 开动 器。 
c 轩 有 用 Bitocker 
人 篇 育 7 
D: 四 有 用 Bitocker 
多 匣 
E 四 有 用 bitocker 
E 淳 身 
BitLocker 驱动 锋 加 密 - BitLocker To Go 
插入 可 移动 器 久 使 用 BitLocker To Go。 
与 二 多 同 
加 TpM 外 至 
网 型 a 于 
联机 同 这 隐私 声明 











选择 希望 解锁 此 驱动 器 的 方式 


国 使 用 客 码 解 包 BE 动 钙 (P) 
密码 应 该 包含 大 小 瑟 闻 母 、 数 字 、 宝 格 以 及 符号 , 





键入 过 码 : 





再 次 插入 言 友 :seeeeeeeeeeee 


思 使 用 智能 卡 解 铝 3 动 器 (S) 
需要 插入 智能 卡 。 解 钢 绒 动 器 时 ， 检 圭 要 智能 卡 PIN 


加 在 此 计算 机 上 自动 解 钢 此 殉 动 器 (A) 





= 








图 6.49 设置 密码 
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学 将 恢复 密 钥 保存 到 USB 闪存 驱动 器 (D) 
个 将 恢复 密 钥 保存 到 文件 (F) 
多 打印 恢复 密 钥 (P) 


化 么 是 多 复 富 让 ? 








图 6.50 选择 密 钥 存储 方式 





GO Hm , ue, ™ [|[ Ms are (Cy | 


-| 


中 J 卫 ] | 


旧 并 retain Users Windows 




















文件 名 (N); BitLocker 恢复 密 铜 7A6B3536-590A-4D77-8678-F6666C3BCC2Atbt - 


i S| 




















图 6.51 密 钥 存储 文件 路 径 











图 6.52 密 钥 存储 文件 路 径 警告 
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图 6.53 加密 分 区 过 程 





soe 
启用 5 Ed 


图 6.54 完成 加 密 过 程 后 的 E 分 区 


(2) 访问 分 区 
如 果 需 要 访问 加 密 分 区 , 则 双击 加 密 分 区 ,如 下 分 区 ,弹出 如 图 6. 55 所 示 的 解锁 界面 ， 
输入 解锁 密码 , 单 击 * 解 锁 ” 按 钮 ,完成 解锁 过 程 。 完 成 解锁 过 程 后 可 以 正常 访问 加 密 分 区 。 


各 BitLocker 要 动 和 加密 () 





此 驱动 器 由 BitLocker 驱动 器 加 密 保 护 
键入 定 码 以 解锁 此 3 动 器 





四 铀 入 时 蜡 示 密码 他 答 6) 
因 从 现在 开 好 在 此 计算 机 上 自动 解锁 WA) 
ETE 











图 6.55 解锁 分 区 


如 果 忘 记 解锁 密码 , 则 单 击 “我 忘记 了 密码 ”链接 ,将 引导 用 户 从 密 钥 存储 文件 中 获得 
解密 密 钥 。 需 要 说 明 的 是 ,解密 加 密 后 的 分 区 ,解锁 密码 和 解密 密 钥 必须 知道 其 一 ,否则 
将 无 法 解密 加 密 后 的 分 区 。 

(3) 还 原 分 区 

如 果 需 要 还 原 加 密 后 的 分 区 , 单 击 图 6. 54 中 加 密 后 的 分 区 旁边 的 “关闭 BitLocker” 
选项 ,然后 弹出 输入 密码 界面 ,输入 正确 密码 后 开始 解密 过 程 , 完 成 解密 过 程 后 ,分 区 将 恢 
复 到 加 密 前 的 状态 。 


633 其 他 数据 保护 机 制 


1. 保护 Word 文档 
Word 文档 可 以 设置 打开 密码 和 修改 密码 ,如果 设置 了 打开 密码 , 则 只 有 输入 正确 的 
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打开 密码 才能 打开 该 Word 文档 。 如 果 设 置 了 修改 密码 , 则 只 有 输入 正确 的 修改 密码 才 
能 修改 该 Word 文档 ,否则 只 能 以 只 读 方 式 打开 该 Word 文档 。 

(1) 设置 密码 

如 果 需 要 为 某 个 Word 文档 设置 密码 , 则 需要 打开 该 Word 文档 ,完成 “Office 按 
钮 ">“ 另 存 为 (A)”>“Word 文档 ”操作 过 程 ,弹出 如 图 6. 56 所 示 的 “另存 为 ”界面 ,完成 
“工具 (LL)” 一 “常规 选项 (G)” 操 作 过 程 ,弹出 如 图 6. 57 所 示 的 设置 密码 界面 。 如 果 需 要 
设置 打开 密码 , 则 在 “打开 文件 时 的 密码 (0)” 输 入 框 中 输入 打开 密码 。 如 果 需 要 设置 修 
改 密码 , 则 在 “修改 文件 时 的 密码 (M) ”输入 框 中 输入 修改 密码 。 如 果 设 置 了 打开 密 钥 , 则 
在 单 击 “确定 ”按钮 后 弹出 如 图 6. 58 所 示 的 打开 密 钥 确认 界面 ,再 次 输入 设置 的 打开 密 
钥 。 如 果 设置 了 修改 密 钥 , 则 在 单 击 “ 确 定 ” 按 钮 后 弹出 如 图 6. 59 所 示 的 修改 密 钥 确认 界 
面 ,再 次 输入 设置 的 修改 密 钥 。 单 击 “ 确 定 ” 按 钮 ,完成 密码 的 设置 过 程 。 
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图 6.56 “另存 为 "界面 


(2) 打开 Word 文档 

如 果 某 个 Word 文档 是 设置 了 打开 密码 的 Word 文档 , 则 会 在 打开 该 Word 文档 时 弹 
出 如 图 6. 60 所 示 的 输入 打开 密码 界面 ,在 输入 正确 的 打开 密码 后 单 击 “ 确 定 ” 按 钮 ,完成 
该 Word 文档 的 打开 过 程 。 如 果 该 Word 文档 同时 设置 了 修改 密码 , 则 在 单 击 “ 确 定 ” 按 
钮 后 弹出 如 图 6. 61 所 示 的 输入 修改 密码 界面 ,在 输入 正确 的 修改 密码 后 单 击 “ 确 定 ” 按 钮 
或 者 “只 读 (R) ”按钮 ,完成 该 Word 文档 的 打开 过 程 。 一 旦 选择 以 只 读 方 式 打 开 Word 文 
档 , 则 不 能 对 Word 文档 进行 修改 。 

如 果 某 个 Word 文档 只 设置 了 修改 密码 , 则 在 打开 该 Word 文档 时 直接 弹出 如 
图 6. 61 所 示 的 输入 修改 密码 界面 。 
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常规 选项 








此 文档 的 文件 加 密 选 项 
打开 文件 时 的 密码 @): [re 
此 文档 的 文件 共享 选项 
修 孙 文件 时 的 密码 四 [eeeet 
建议 以 只 读 方式 打开 文档 邑 ) 
_ 保 护 文档 @). 


宏 安全 性 
A ， FEaaEa 
































图 6.57 设置 密码 








7 
Cum ][ ms ] 


图 6.58 确认 打开 密码 























请 键入 打开 文件 所 需 的 密码 : 
留 Ci\Wsers\Adninist..p\ 第 6 章 教 据 安 全 技术 .docx 


“第 6 章 数据 安全 技术 . docx” 由 user 保存 
请 键入 修改 文 件 所 需 的 密码 ， 否 则 以 只 读 方 式 打开 。 
密码 :ltrs 


Cm [mn ERY] Cm | 己 坏 一 
图 6.60 输入 打开 密码 图 6.61 输入 修改 密码 









































(3) 删除 密码 

如 果 需 要 删除 在 某 个 Word 文档 上 设置 的 密码 , 则 需要 在 成 功 打 开 该 Word 文档 后 
完成 “Office 按钮 >“ 另存 为 (A)”>“Word 文档 ”操作 过 程 ,弹出 如 图 6. 56 所 示 的 “另存 
为 ”界面 ,完成 “工具 (LL)” 一 “常规 选项 (G) ”操作 过 程 ,弹出 如 图 6. 57 所 示 的 设置 密码 界 
面 ,分 别 清空 “打开 文件 时 的 密码 (O)” 和 “修改 文件 时 的 密码 (M)” 输 入 框 中 的 密码 ,如 
图 6. 62 所 示 , 单 击 “ 确 定 ” 按 钮 ,完成 删除 密码 的 过 程 。 

2. 设置 压缩 密码 

压缩 文件 时 可 以 设置 压缩 密码 ,设置 压缩 密码 后 ,在 解压 该 压缩 文件 时 只 有 输入 正确 
的 压缩 密码 才能 解压 该 压缩 文件 。 


第 6 章 “数据 安全 技术 Sm 





常规 选项 
此 文档 的 文件 加 密 选 项 
打开 文件 时 的 密码 @): | 


此 文档 的 文件 共享 选项 
修 欢 文件 时 的 密码 名: 「[ 


建议 以 只 读 方 式 打开 文档 外 ) 
.| 


宏 安全 性 
ete) 






































图 6.62 删除 密码 


(1) 设置 压缩 密码 

选中 需要 压缩 的 文件 并 右 击 ,在 弹出 的 菜单 中 选择 “添加 到 压缩 文件 (A)”, 弹 出 如 
图 6.63 所 示 的 压缩 文件 界面 ,选择 “添加 密码 ”, 弹 出 如 图 6. 64 所 示 的 设置 压缩 密码 界 
面 ,完成 密码 设置 过 程 后 , 单 击 * 确 认 ” 按 钮 ,完成 该 文件 的 压缩 过 程 和 压缩 密码 的 设置 
过 程 。 





自 添 I 密码 ”VY 生成 超级 压缩 包 





图 6.63 压缩 文件 








图 6.64 设置 压缩 密码 


(2) 解压 文件 
解压 设置 了 压缩 密码 的 压缩 文件 时 ,会 弹出 如 图 6. 65 所 示 的 输入 压缩 密码 界面 ,在 
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输入 正确 的 压缩 密码 后 单 击 “ 确 定 ” 按 钮 ,才能 成 功 完成 该 压缩 文件 的 解压 过 程 。 


闻 输入 过 可 





为 加 密 的 文件 锭 入 密码 : 
意见 docx 


口 5s 
2 省 





图 6.65 输入 压缩 密码 


6.4 Windows 7 访问 控制 机 制 


Windows 7 访问 控制 机 制 可 以 针对 每 一 个 资源 为 每 一 个 用 户 分 配 权 限 。 用 户 访问 某 
个 资源 的 前 提 是 已 经 针对 该 资源 为 该 用 户 分 配 了 访问 权限 。 访 问 控制 实施 过 程 分 为 两 部 
分 : 一 是 鉴别 用 户 身 份 ; 二 是 判别 该 用 户 是 否 具有 针对 该 资源 的 访问 权限 。 


64.1 访问 控制 矩阵 与 访问 控制 表 


1. 访问 控制 矩阵 

可 以 通过 表 6. 1 所 示 的 访问 控制 矩阵 表示 每 一 个 用 户 对 不 同 资源 的 访问 权限 。 
表 6. 1 中 的 主体 (Subject) 是 指 主动 的 实体 ,通常 包括 用 户 、 进 程 和 服务 等 。 客 体 (Object) 
是 指 包含 或 接收 信息 的 被 动 实体 ,通常 包括 文件 .程序 目录、 数据库 等 。 操 作 是 指 主 体 对 
客体 实施 的 访问 操作 。 





表 6.1 访问 控制 矩阵 











扣 作 客体 资源 X 资源 Y 资源 
主体 
用 户 A 读 . 修 改 .管理 读 .修改 .管理 
用 户 B 读 .修改 ,管理 
用 户 C 读 读 . 修 改 











访问 控制 矩阵 中 的 每 一 行 代表 一 个 主体 ,每 一 列 代表 一 个 客体 ,行列 交叉 的 单元 格 
给 出 该 行 代表 的 主体 允许 对 该 列 代表 的 客体 进行 的 操作 。 如 第 1 行 表 示 主 体 用 户 A， 
第 1 列表 示 客 体 资源 X, 这 里 的 资源 可 以 是 文件 .程序 目录、 数据库 等 。 第 1 行 与 第 1 
列 交叉 的 单元 格 中 给 出 允许 用 户 A 对 资源 X 进行 的 操作 ( 读 , 修 改 、 管 理 )。 假 定 资源 
是 文件 , 读 操作 是 指 读 取 文 件 内 容 ,修改 操作 是 指 修改 文件 内 容 , 管 理 操作 是 指 改变 文 
件 属性 。 

如 果 存 在 M 个 主体 和 N 个 客体 ,如 表 6. 1 中 所 示 的 访问 控制 矩阵 有 着 MX N 个 单 
元 格 。 由 于 每 一 个 主体 只 能 授权 访问 有 限 个 客体 ,因此 ,每 一 行 对 应 的 N 个 单元 格 中 的 
大 量 单元 格 是 空白 的 。 如 表 6. 1 中 的 用 户 B 只 授权 访问 资源 Y, 因 此 ,用 户 B 对 应 的 一 
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行 中 ,资源 X 和 资源 Z 对 应 的 单元 格 都 是 空白 的 。 存 在 大 量 空白 单元 格 的 访问 控制 矩阵 
有 着 以 下 两 个 问题 : 一 是 大 量 存储 单元 被 浪费 ;二 是 增加 了 检索 主体 X 对 客体 Y 的 访问 
权限 的 时 间 。 

2. 访问 控制 表 

访问 控制 表 (Access Control Lists,ACL) 以 客体 为 中 心 ,为 每 一 个 客体 分 配 访 问 权 
限 。 如 图 6. 66(a) 所 示 ,客体 资源 X 允许 主体 用 户 A 进行 读 、 修 改 和 管理 等 访问 操作 ,人 允 
许 主体 用 户 C 进行 读 访问 操作 。 每 一 个 客体 通过 访问 控制 表 可 以 很 方便 地 确定 该 客体 
允许 哪些 主体 进行 哪些 访问 操作 。 
资源 X ”上 一 一 | 用 户 A 用 户 C 

恋 、 修改 、 管理 | 。 读 | 




















(a) 资源 X 访 问 控制 表 








资源 Y [一 | 用 户 B 用 户 C 
读 、 修改 、 管理 | ” 读 、 修改 





(b) 资源 Y 访 问 控制 表 











资源 2 一 | 用 户 A 
读 、 修改 、 管理 























(0) 资源 Z 访 问 控制 表 
图 6.66 访问 控制 表 


如 果 某 个 主体 不 具备 对 某 个 客体 的 访问 权限 , 则 该 主体 不 会 出 现在 该 客体 对 应 的 访 
问 控制 表 中 ,如 果 所 有 主体 都 不 具备 对 某 个 客体 的 访问 权限 , 则 该 客体 对 应 的 访问 控制 表 
为 空 。 

访问 控制 表 是 操作 系统 最 常用 的 访问 控制 模型 ,通过 将 用 户 分 为 有 限 类 ,相同 类 型 用 
户 分 为 一 组 ,客体 基于 用 户 组 分 配 访问 权限 。 使 得 图 6. 66 所 示 的 每 一 个 客体 对 应 的 访问 
控制 表 的 表 项 数量 不 会 超过 用 户 组 的 数量 。 

3. Windows 7 实现 机 制 

Windows 7 采用 访问 控制 表 方 式 , 每 一 个 文件 或 文件 夹 作为 一 个 客体 ,可 以 为 每 一 个 
客体 添加 允许 访问 的 用 户 ,以 及 允许 该 用 户 对 客体 进行 的 操作 。 创 建 的 每 一 个 账户 对 应 
一 个 用 户 ,账户 名 就 是 用 户 名 。 

可 以 对 用 户 分 组 ,将 用 户 按照 类 别 分 为 若干 组 。 人 允许 将 用 户 组 作为 单个 主体 分 配 访 
问 某 个 文件 或 文件 夹 的 权限 。 


642 访问 控制 实施 过 程 


Windows 7 的 访问 控制 实施 过 程 分 为 两 步 : 一 是 通过 创建 账户 创建 用 户 ;二 是 基于 
资源 为 每 一 个 用 户 分 配 权限 。 
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1. 创建 用 户 
创建 新 账户 用 户 A, 如 图 6. 67 所 示 ,用户 A 的 账户 类 型 是 标准 用 户 。 为 账户 用 户 A 
设置 密码 。 
[ 

















回 品 证 3 
| 忆 ， 这 i ， 帮 -化 疡 4 二 ER 全 用 户 位 产 全 要 外 信条 化 产 -Issss | 


文 f。 芝 6， 二 看 V) 工 RID 二 Hl) 


命名 账户 并 选择 账户 类型 
该 名 和子 想 旺 示 在 次 迎 夫 村 和 [开始 ] 东单 上 
RA 
@ 夺 各 产 
了 六 用 广 可 以 生 用 大 多 区 软件 以 及 更 次 不 影响 其 他 用 广 或 计算 可 雪 全 的 系 流 设置. 
合生 三) 
生理 届 有 计算 机 的 这 全 沪 回 各 ,可 以 做 任 癌 雪 要 的 更 改 。 根 宏 台 知 设 秆 ,可 能 人 要求 管 妇 员 在 类 出 全 影响 
芭 他 月 户 的 家 到 贡 奏 人 起 汉王 斑 。 
人 建 以 过 再 保护 生 人 由 疡 ， 
四 妈 于 全 用 全 7? 








| [ 了 | 











图 6.67 创建 标准 用 户 账户 


以 同样 的 方法 创建 新 账户 用 户 B, 如 图 6. 68 所 示 , 用 户 B 的 账户 类 型 是 管理 员 。 为 
账户 用 户 B 设 置 密码 。 


€® EE “Iolarssms | 


文人 了 锅 吃 E) 查看 MI。 工具 和 mH) 





命名 败 户 并 选择 账户 类 型 
访 称 检 显 地 丰 MK 让 天 蔓 和 「 开 始 」 订单 上 
Re 


a Re 
用 六 可 以 使 用 大 名 娄 软件 以及 更 不 影响 其他 且 户 或 1 真人 安全 的 来 注 有 

© WEA) 
有 计 芭 的 完全 访问 公 ， 可 名 任 有 要 要 和 更 W， 素 过 向 轩 ， 可 能 全 要 下 攻 要 二 全 寺 生病 
其 作 门 产 的 时 改 前 捍 代 密码 子 绚 认 
5 建 全 权时 每 人 由- 


为 和 于 交换 Ri? 

















图 6.68 创建 管理 员 账 户 


创建 账户 的 过 程 就 是 创建 用 户 的 过 程 。 完 成 用 户 名 为 用 户 A 和 用 户 B 的 两 个 用 户 
的 创建 过 程 后 ,针对 每 一 个 资源 ,可 以 分 别 为 用 户 A 和 用 户 B 分 配 权限 。 

2. 分 配 权限 

下 面 通过 对 名 为 doc 的 文件 夹 分 配 权限 的 过 程 ,讨论 Windows 7 分 配 权 限 的 操作 步骤 。 

选中 资源 文件 夹 doc, 右 击 文件 夹 doc, 在 弹出 的 菜单 中 选中 “属性 ”。 在 弹出 的 属性 
界面 中 选择 “安全 "选项 卡 , 弹 出 如 图 6. 69 所 示 的 文件 夹 doc 的 权限 配置 界面 。 单 击 “ 高 
级 "按钮 ,弹出 如 图 6. 70 所 示 的 高 级 安全 设置 界面 。 单 击 “ 更 改 权 限 ” 按 钮 ,弹出 如 
图 6.71 所 示 的 更 改 权 限界 面 。 单 击 “ 添 加 ”按钮 ,弹出 如 图 6. 72 所 示 的 选择 用 户 或 用 户 
组 界面 。 单 击 “ 高 级 "按钮 ,弹出 如 图 6.73 所 示 的 搜索 用 户 或 用 户 组 界面 。 单 击 “ 立 即 查 
找 ” 按 钮 ,下 方 搜索 结果 中 列 出 所 有 的 用 户 和 用 户 组 ,选中 用 户 A, 单 击 “ 确 定 ” 按 钮 ,弹出 
如 图 6. 74 所 示 的 选择 用 户 或 用 户 组 界面 。 单 击 “ 确 定 ” 按 钮 ,弹出 如 图 6. 75 所 示 的 为 用 
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户 A 配 置 权限 的 界面 。 在 “允许 ”一列 中 勾 选用 户 A 的 权限 ,图 6. 75 所 示 为 用 户 A 配置 
的 权限 是 允许 列 出 文件 夹 中 文件 ,允许 读 取 文 件 夹 中 文件 ,但 不 能 删除 文件 夹 中 的 文件 。 
用 同样 的 方法 ,针对 文件 夹 doc, 为 用 户 B 配置 权限 ,为 用 户 B 配置 的 权限 如 图 6. 76 所 
示 , 用 户 B 拥 有 对 文件 夹 doc 的 所 有 权限 。 






























































[了 dc 有 CE 了 
| 营 规 支 全 
中 | 对 象 名 称 : Ci\doe 
组 或 用 户 名 (6) 
中 SYSTE < 
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完全 控制 V - 
修改 v 
读 取 和 执行 ~ 
列 出 文件 夹 内 容 v 
读 取 v 
| 所 入 ~ = 
设置 ， 请 单 击 “高 蕊 有 mm 
了 裔 访问 控制 和 权限 




















确定 取消 sj | 应 用 人 ) 














图 6.69 文件 夹 doc 的 权限 配置 


少 现 ec 的 高 级 安全 设置 


川 | 权限 。 这 竣 二 [所 有 者 | 有效 权限 


中 | 着 要 查看 某 个 权限 项 目的 详细 信息 ， 请 双击 该 项 目 。 若 要 修改 权限 ， 请 单 击 “ 更 改 权限 ”。 
































对 象 名 称 Ci\doe 
权限 项 目 01) 
类 型 。 名 称 权限 继承 于 应 用 于 > 
允许 haninistrater CC-..， 完全 控制 < 环 是 继承 的 > 此 文件 夹 、 子 文件 赤 … 
间 | | 允许。 kainistraters (PC..， 完全 控制 < 趟 是 继承 的 > 此 文件 赤 、 子 文件 赤 
允许 SYSTEN 完全 控制 《< 趟 是 继承 的 > 此 文件 夹 、 子 文件 赤 
人 允许 。 ”未 知 账户 GS-1-5-21-. .。 读 取 和 执行 《< 趟 是 继承 的 > 此 文件 夹 、 子 文件 夹 
人 允许。 未 知 账户 G-1-5-21-..。 读 取 和 执行 剑 是 继承 的 > 此 文件 夹 、 子 文件 志 
人 允许。 未 知 账户 G-1-5-21-. .， 读 取 和 执行 < 趟 是 继承 的 > 此 文件 夹 、 子 文件 夹 ..… 
允许 。 未 知 账户 G-1-5-21-,.， 读 取 和 执行 < 环 是 继承 的 > 此 文件 夹 、 子 文件 夫 
未 知 账户 -1-5-21-. . 。 读 取 和 执行 《 环 是 继承 的 ”此 文件 夹 、 子 文件 夹 ..。 “| 
更 改 权 限 c).…， 











用 | 口外 括 可 从 该 对 象 的 项 继承 权限 可 ) 
管理 权限 项 目 





























应用) 





6.70 文件 夹 doc 的 高 级 安全 设置 


完成 权限 配置 后 ,如 果 用 户 以 账户 用 户 A 登录 计算 机 系统 , 则 该 用 户 可 以 列 出 文件 
夹 doc 中 的 文件 ,可 以 复制 文件 夹 doc 中 的 文件 ,但 不 能 删除 文件 夹 doc 中 的 文件 。 如 果 
用 户 以 账户 用 户 B 登录 计算 机 系统 , 则 该 用 户 可 以 对 文件 夹 doc 进行 任何 操作 。 
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应 用 于 
未 知 账户 G-1-5-21- .六 此 文件 夹 、 子 文件 赤 
未 知 账 户 (5-1-5-21-.。 此 文件 夫 、 子 文件 夫 
未 知 账户 (5-1-5-21-. 放 此 文件 夹 、 子 文件 夫 
未 知 账户 S-1-5-21- 此 文件 夹 、 子 文件 夹 
未 知 账户 (5-1-5-21-. 此 文件 夫 、 子 文件 夹 
用 户 A CC-20100624 此 文件 夹 、 子 文件 夫 


.| [编辑 到).， 






































固 包 括 可 从 该 对 象 的 父 项 继承 的 权限 了) 
国 使 用 可 从 此 z 和 象 继承 的 权限 莹 换 所 有 子 对 象 术 限 中) 


管理 可 限 项 目 

















图 6.71 更 改 文件 夹 doc 权限 





















































图 6.72 选择 用 户 或 用 户 组 
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名 称 0 所 在 文件 志 
号 Replicater 。 PC-20100624 








6.73 ”搜索 用 户 和 用 户 组 





选择 用 户 或 组 





选择 此 对 象 类 型 5) 





用 户 、 组 或 内 置 安全 主体 
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名 称 品 : 用 户 (PC-20100624ZUIN\ 用 户 A) 
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对 镶 
名 称 中 司 户 8 CFC-20100824ZUTN\ 用 户 5) [本 歌 中 
应 用 于 0) [此 文件 夫子 文件 夹 和 文件 | 
权限 加) 多 许 。 拒绝 
完全 控制 国 < 
记 历 文件 夫 / 执 行文 件 回 回 
列 届 文 件 志 / 读 取 数 据 国 
读 取 属性 回 
读 取 扩展 属性 国 回 
创 训 文件 / 瑟 入 数据 回 回 
创建 文 件 夫 / 附 加 数据 回 回 
写 入 属性 国 回 
写 入 扩展 属性 国 
肚子 文 件 夫 及 文件 回 回 
回 回环 
日 人 Rte 和。 区 王 对 
重型 限 








图 6.76 配置 用 户 B 权限 
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6.5 手机 数据 保护 机 制 


手机 数据 保护 机 制 是 多 样 的 ,例如 解锁 机 制 可 以 保证 非 授权 用 户 无 法 打开 手机 ,从 而 
无 法 访问 存储 在 手机 中 的 数据 。 本 节 讨 论 的 数据 保护 机 制 是 对 用 户 认定 的 私密 信息 实施 
保护 的 机 制 , 一 旦 对 私密 信息 实施 保护 ,在 打开 手机 的 情况 下 , 非 授 权 用 户 也 无 法 访问 已 
经 实施 保护 的 私密 信息 。 


65.1 腾讯 手机 管家 数据 保护 机 制 


腾讯 手机 管家 可 以 对 手机 中 需要 保护 的 私密 信息 设置 保护 密码 ,对 于 设置 了 保护 密 
码 的 私密 信息 ,只 有 在 输入 正确 的 保护 密码 后 ,才能 对 这 些 私密 信息 实施 访问 。 腾 讯 手 机 
管家 能 够 保护 的 私密 信息 包括 照片 ,视频 ,短信 和 文件 等 。 


652 腾讯 手机 管家 数据 保护 实施 过 程 


启动 腾讯 手机 管家 ,弹出 如 图 6. 77 所 示 的 功能 菜单 ,选择 “隐私 保护 ”, 弹 出 如 
图 6.78 所 示 的 手势 密码 设置 界面 。 设 置 手势 密码 后 ,弹出 如 图 6. 79 所 示 的 手势 密码 
确认 界面 。 确 认 手 势 密码 后 ,弹出 如 图 6. 80 所 示 的 关联 QQ 号 界面 。 如 果 关 联 QQ 
号 ,那么 在 忘记 手势 密码 时 ,可 以 通过 QQ 号 登录 ,并 在 通过 QQ 号 登录 后 重新 设置 手 
势 密码 。 如 果 选 择 关 联 QQ 号 , 则 会 弹出 如 图 6. 81 所 示 的 QQ 号 登录 界面 。 完 成 QQ 
号 登录 后 ,进入 如 图 6. 82 所 示 的 隐私 保护 界面 。 进 入 隐私 保护 界面 后 ,可 以 将 需要 保 
护 的 照片 .视频 ,短信 和 文件 添加 到 相应 目录 下 ,也 可 以 将 需要 加 密 的 软件 添加 到 软件 
锁 目 录 下 。 资 源 一 旦 添加 到 隐私 保护 中 的 某 个 目录 ,只 有 在 进入 隐私 保护 界面 后 , 才 
能 对 这 些 资源 实施 访问 。 进 入 隐私 保护 界面 需要 输入 正确 的 手势 密码 或 者 完成 QQ 号 
登录 过 程 。 
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@ 名 © 
红包 半 钟 ”健康 锁 异 游戏 助手 

|] 国 
支付 保险 箱 话费 充值 

推荐 
my 同步 助手 





图 6.77 腾讯 手机 管家 功能 菜单 图 6.78 设置 手势 密码 
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清 输 入 原 手势 密码 
以 后 再 说 
忘记 手势 器 码 ? 
图 6.79 确认 手势 密码 图 6.80 关联 QQ 号 
Fa 
《 ”隐私 保护 
局 QQ 登录 
回 山上 
| 
@@ ” 币 
个 ”文件 
辐 软件 锁 
图 6.81 输入 QQ 号 图 6.82 隐私 保护 的 资源 类 型 


6.6 数据 备份 还 原 机 制 


病毒 .黑客 和 意外 事故 都 有 可 能 破坏 存储 在 计算 机 中 的 数据 ,保障 数据 可 用 性 的 重要 
手段 是 对 数据 进行 备份 ,并 在 数据 遭受 破坏 的 情况 下 还 原 被 破坏 的 数据 。Windows 7 自 
带 备 份 还 原 工具 ,Ghost 也 是 一 种 被 广泛 使 用 的 用 于 备份 还 原 数据 的 软件 。 


66.1 Wndows 7 备份 还 原 工具 








Windows 7 自 带 备份 还 原 工 具 , 可 以 对 硬盘 中 的 某 个 分 区 进行 备份 还 原 。 备 份 时 ,可 
以 将 某 个 分 区 中 的 内 容 存储 到 系统 映像 中 。 还 原 时 ,可 以 从 系统 映像 中 选择 文件 或 文件 
夹 进行 还 原 。 
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1. 备份 

完成 “开始 ”>“ 控 制 面板 >“ 系统 和 安全 ”操作 过 程 ,弹出 如 图 6. 83 所 示 的 “系统 和 
安全 ”界面 。 单 击 “ 备 份 和 还 原 ” 选 项 ,弹出 如 图 6. 84 所 示 的 “备份 和 还 原 ” 界 面 。 单 击 “ 创 
建 系统 映像 ”选项 ,弹出 如 图 6. 85 所 示 的 “创建 系统 映像 界面。 选择 存储 系统 映像 的 存 
储 介质 ,这 里 选择 本 地 硬盘 中 的 下 盘 。 单 击 * 下 一 步 ? 按 钮 ,弹出 如 图 6. 86 所 示 的 选择 需 
要 备份 的 分 区 的 界面 , 色 选 需要 备份 的 分 区 ,这 里 选择 C 盘 。 单 击 “ 下 一 步 ” 按 钮 ,弹出 如 
图 6. 87 所 示 的 确认 需要 备份 的 分 区 的 界面 , 单 击 “ 开 始 备 份 ” 按 钮 ,开始 备份 过 程 , 弹 出 如 
图 6. 88 所 示 的 备份 进度 条 。 当 备份 完成 时 ,弹出 如 图 6. 89 所 示 的 创建 系统 修复 光盘 问 
询 界面 ,如 果 需 要 创建 系统 修复 光盘 , 则 单 击 “是 ”按钮 ,否则 单 击 “ 否 ”按钮 。 本 例 由 于 不 
需要 创建 系统 修复 光盘 ,因此 单 击 “ 否 "按钮 ,弹出 如 图 6. 90 所 示 的 成 功 完成 备份 过 程 的 
界面 , 单 击 “ 关 闭 ” 按 钮 ,结束 备份 过 程 。 
| 
GO se , srnes E73 四 
文件 ( 坟 纺 (E) 查看 V) 工具) 帮助 (H) 








控制 面板 主页 操作 中 心 


。 全 检 间 计算 机 的 状态 并 解 二 是 。 图 更改 用 广 由 疡 控 制 安 置 。 乞 见 计算 机 同时 后 于 解答 
计算 人 入 早 的 时 间 点 
将 计算 机 还 原 到 一 个 较 蛙 的 时 间 
硬件 和 声音 Windows 防火 墙 
i 检查 防火 过 状态 | 允许 程序 通过 Windows 防火 过 
用 广 账 户 和 训 许 安全 & 系统 9 
查看 RAM 的 大 小 和 处 理 跨度 | 检查 Windows 体验 指数 | 图 允许 远程 访问 
外 观 和 个 性 化 
算 机 的 名 ; 
时 出 、 王 癌 和 区 域 i dt 
妈 检 访问 Windows Update 
局 用 或 用 各 动 更 新 | 检查 更 新 | 查看 已 安 美 的 更 新 
电源 选项 
设计 算 机 时 委 要 这 三 | 更 改 电 源 按 和 的 功能 。 更 改 计算 机 中 加 3 间 
备份 和 还 原 


备份 多 的 计算 机 | 从 备份 还 原文 件 
BitLocker 驱动 器 加 密 
通过 加 窗 磁 盘 上 的 数据 保护 计算 机 | 管理 BitLocker 


[| 管理 工具 
| 大 放 志 空间 | 对 硬 家 进行 碎片 才 理 | 生 创建 并 格式 化 硬盘 分 区 | 图 查看 事件 日 志 
国务 


Flash Player 








图 6.83 “系统 和 安全 ”界面 


2. 还 原 

完成 备份 过 程 后 ,如 果 单 击 图 6. 83 中 “系统 和 安全 ”界面 中 的 “备份 和 还 原 ” 选 项 , 则 
会 弹出 如 图 6. 91 所 示 的 “备份 和 还 原 ” 界 面 , 单 击 “ 还 原 我 的 文件 ”按钮 ,弹出 如 图 6. 92 所 
示 的 “还 原文 件 " 界 面 。 单 击 “浏览 文 件 夹 "按钮 ,弹出 如 图 6. 93 所 示 的 系统 映像 中 的 文 
件 夹 列表 ,选中 需要 还 原 的 文件 夹 , 单 击 “添加 文件 夹 ” 按 钮 ,将 选中 的 文件 夹 添 加 到 需要 
还 原 的 文件 夹 列表 中 ,如 图 6. 94 所 示 , 单 击 “ 下 一 步 "按钮 ,弹出 如 图 6. 95 所 示 的 查询 还 
原文 件 位 置 的 界面 ,可 以 选择 还 原 到 原始 位 置 或 者 指定 路 径 。 确 定 后 单 击 “ 还 原 ” 按 钮 , 完 
成 文件 或 文件 夹 的 还 原 过 程 。 
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鸭 过 大 要 从 中 还 原文 件 的 其 他 备份 (N) 


恢复 系统 设置 吗 计 算 机 () 





图 6.84 “备份 和 还 原 ” 界 面 





SEC 





您 想 在 何 处 保存 备份 ? 


a 





加 在 硬盘 上 0 
[局 本 地 i 熏 FE:) 316.40 68 可 用 空间 z=] 
FN 的 同 一 物 二 上 。 如 果 此 碰 盘 出 现 故障 ， 将 去 失 备 








自在 -RH 或 片上 四 
国 mm 了 由 动 器 0) ~ 











目 在 隐 络 位 置 上 O) 
































6.85 “创建 系统 映像 "界面 
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-一 - Lz 
| Vassre . 
您 要 在 备份 中 包括 哪些 驱动 器 ? 


默认 情况 下 ， 交 包含 运行 由 ndows 所 震动 器 。 您 不 能 包 合 正 在 保存 备份 的 驱动 器 。 


正在 将 您 的 备份 保存 到 本 地 磁盘 FE:)。 





驱动 器 总 计 大 小 已 用 空间 
日 多 和 保留 折 阁 100.00 上 62.07 皮 出 
| 5 拆 统 ) 48.73 08 29.92 0B 
ep") 100.00 GB 6.73 6B 











A Eel 处 于 将 保存 备份 的 同一 牧 理 磋 盘 上 。 如 果 此 磅 盘 出 现 故障 , 插 


























上 
图 6.86 选择 备份 分 区 





| er LE 
| Tenessme . 


确认 您 的 备份 设置 
备份 位 轩 
< EF) 
备份 全 占用 30 G8 的 二 空 间 。 
A 人 A 能 村 和 此 计算 机 的 任何 现 有 系统 像 。 详 纪 信 息 





将 备份 下 BE 动 器 
< 光线 人 折 训 


Lp co 圾 统 ) 





























了 取消- 中 
图 6.87 确认 备份 分 区 
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[ss 二 [所 | 台 
Windows 正在 避 存 备份。 
[| | 
人 从 
图 6.88 备份 进度 条 





























图 6.90 成 功 完成 备份 
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| 











GO se , ames ， Hin E277 万 
3 而 本 主 页 9 
备份 或 还 原文 件 
| 四 ess 各 从 
“a 时 可 ET 
| 
> 286.89 GB 可 用 , 共 316.93 GB 
备份 大 小 : 26.59 GB 
加 于 本 M) 
下 一 次 备 份 。 。。 未 H 划 
上 一 次 备份 : 2017/12/17 2346 
内 窜 : 库 中 的 文件 和 所 有 用 户 的 个 人 文件 到 和 系统 了 各 
计划 : 无. 请 远近 “立即 各 分 ”手动 去 行 备份 ， 团 启用 计划 (U) 
rian 
还 
可 以 还 原 在 当前 位 置 备份 的 文件 , 
鸭 还 大 所 有 用 户 的 文件 从 
图 远 所 要 从 中 生 原 文件 的 其 他 备份 (N) 
oN 你 复 系 统 设置 到 计算 Wu) 
所 中心 
轩 Windows 经 松 传送 




















图 6.91 “备份 和 还 原 ” 界 面 


| 浏览 或 搜索 要 还 原 的 文件 和 文件 夹 的 备份 





格 所 有 文件 都 还 原 为 其 最 新 版 本 . 用 
运作 日 其 
名 称 文件 夫 路 径 修改 日 期 


= 
单 击 “ 浏 览 文件 ” “浏览 文件 夫 ” 或 “ 社 素 ”将 文件 翅 加 到 此 列表 ， 


WE) 


全 部 删除 (A) 











FB(N) 























图 6.92 “还 原文 件 ”" 界 面 
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| 县 <“ CC: 的 备份 ，Users admin ， | 她 || 和 村 sadma 











族 Mi 








县 (E) 上 的 备份 | 
二 admin 的 备份 


icrosoft (R) Windc AppData 
2016/127 1045 
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Contacts 
2017/11/22 22:38 
y se 
Desktop 
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Documents 
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Downloads 
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6.93 文件 夹 列表 





























浏览 或 搜索 要 还 原 的 文件 和 文件 夹 的 备份 | 
格 所 有 文件 都 还 原 为 其 慑 新 版 本 。 中 
汉化 日 
全 称 文件 夫 路 径 修改 日 其 搜索 (Sj。。 
Badmin CNUsers 2017/12/3 17:54 浏览 文件 () 
文件 夫 (O) 
BE) 
EE 
[Ff-»m |] 

















图 6.94 需要 还 原 的 文件 夹 列 表 
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您 想 在 何 处 还 原文 件 ? | 


加 在 原始 位 置 (0) 


© 在 以 下 位 置 (P): 


济 晚 (W)-. 























图 6.95 查询 还 原 位 置 


662 Ghost 


1. Ghost 简介 

Ghost 软件 是 美国 赛 门 铁 克 公 司 推出 的 一 款 硬 盘 备 份 还 原 工 具 , 它 可 以 实现 硬盘 与 
硬盘 之 间 、 分 区 与 分 区 之 间 逐 个 扇 区 的 复制 ,也 可 以 将 硬盘 或 分 区 的 内 容 存储 在 一 个 镜像 
文件 中 ,或 者 从 镜像 文件 中 还 原 出 硬盘 或 分 区 的 内 容 。 

(1) 名 词 解释 

Disk: 物理 硬盘 。 

Partition: 分 区 ,划分 物理 硬盘 后 产生 的 逻辑 分 区 ,如 划分 同一 个 物理 硬盘 后 产生 的 
用 盘 符 C.D 和 下 等 表示 的 逻辑 分 区 。 

Image: 镜像 文件 ,以 文件 形式 存储 的 硬盘 或 分 区 内 容 。 

(2) 备份 和 还 原 

Disk*>Disk: 以 扇 区 为 单位 ,逐个 扇 区 地 将 数据 从 源 硬盘 复制 到 目的 硬盘 。 

Partition<*> Partition: 以 扇 区 为 单位 ,逐个 扇 区 地 将 数据 从 源 分 区 复制 到 目的 
分 区 。 

Disk> Image: 将 硬盘 数据 存储 到 某 个 镜像 文件 中 ,或 从 镜像 文件 中 还 原 出 硬盘 
数据 。 

Partitione>Image: 将 分 区 数据 存储 到 某 个 镜像 文件 中 ,或 从 镜像 文件 中 还 原 出 分 区 
数据 。 

2. Ghost 操作 过 程 

(1) 完成 Partition~Image 传输 过 程 

启动 Ghost 后 ,弹出 如 图 6. 96 所 示 的 界面 , 单 击 OK 按钮 后 ,弹出 如 图 6. 97 所 示 的 
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您 想 在 何 处 还 原文 件 ? | 


加 在 原始 位 置 (0) 


© 在 以 下 位 置 (P): 


济 晚 (W)-. 























图 6.95 查询 还 原 位 置 


662 Ghost 


1. Ghost 简介 

Ghost 软件 是 美国 赛 门 铁 克 公 司 推出 的 一 款 硬 盘 备 份 还 原 工 具 , 它 可 以 实现 硬盘 与 
硬盘 之 间 、 分 区 与 分 区 之 间 逐 个 扇 区 的 复制 ,也 可 以 将 硬盘 或 分 区 的 内 容 存储 在 一 个 镜像 
文件 中 ,或 者 从 镜像 文件 中 还 原 出 硬盘 或 分 区 的 内 容 。 

(1) 名 词 解释 

Disk: 物理 硬盘 。 

Partition: 分 区 ,划分 物理 硬盘 后 产生 的 逻辑 分 区 ,如 划分 同一 个 物理 硬盘 后 产生 的 
用 盘 符 C.D 和 下 等 表示 的 逻辑 分 区 。 

Image: 镜像 文件 ,以 文件 形式 存储 的 硬盘 或 分 区 内 容 。 

(2) 备份 和 还 原 

Disk*>Disk: 以 扇 区 为 单位 ,逐个 扇 区 地 将 数据 从 源 硬盘 复制 到 目的 硬盘 。 

Partition<*> Partition: 以 扇 区 为 单位 ,逐个 扇 区 地 将 数据 从 源 分 区 复制 到 目的 
分 区 。 

Disk> Image: 将 硬盘 数据 存储 到 某 个 镜像 文件 中 ,或 从 镜像 文件 中 还 原 出 硬盘 
数据 。 

Partitione>Image: 将 分 区 数据 存储 到 某 个 镜像 文件 中 ,或 从 镜像 文件 中 还 原 出 分 区 
数据 。 

2. Ghost 操作 过 程 

(1) 完成 Partition~Image 传输 过 程 

启动 Ghost 后 ,弹出 如 图 6. 96 所 示 的 界面 , 单 击 OK 按钮 后 ,弹出 如 图 6. 97 所 示 的 
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Ghost 主 菜单 , 主 菜单 各 项 含义 如 下 。 





E] Symantec Ghost 











图 6.96 Ghost 启动 后 的 界面 


Local: 本 地 操作 ,对 本 地 计算 机 上 的 硬盘 进行 操作 。 

Peer to peer: 通过 点 对 点 模式 对 网 络 中 计算 机 上 的 硬盘 进行 操作 。 

GhostCast: 通过 单 播 /多 播 或 者 广播 方式 对 网 络 中 计算 机 上 的 硬盘 进行 操作 。 

Option: 使 用 Ghost 时 的 一 些 选项 ,一 般 使 用 默认 设置 即 可 。 

Help: 一 个 简洁 的 帮助 。 

Quit: 退出 Ghost。 

当 光 标 指向 Local 时 ,弹出 第 二 级 菜单 ,其 各 项 含义 如 下 。 

Disk: 选择 硬盘 与 硬盘 之 间或 者 硬盘 与 镜像 文件 之 间 的 传输 方式 。 

Partition: 选择 分 区 与 分 区 之 间或 者 分 区 与 镜像 文件 之 间 的 传输 方式 。 

Check: 对 硬盘 进行 检测 。 

当 光 标 经 Local 指向 Partition 时 ,弹出 第 三 级 菜单 ,其 各 项 含义 如 下 。 

To Partition: 选择 源 分 区 一 目的 分 区 的 传输 方式 。 

To Image: 选择 分 区 一 镜像 文件 的 传输 方式 。 

From Image: 选择 镜像 文件 一 分 区 的 传输 方式 。 

当 光 标 经 Local、Partition 指向 To Image 时 ,弹出 如 图 6. 97 所 示 的 选择 Partition 一 
Image 传输 方式 的 界面 。 单 击 To Image 按钮 ,弹出 如 图 6. 98 所 示 的 选择 源 分 区 所 在 硬 
盘 的 界面 , 单 击 选中 的 本 地 硬盘 ,再 单 击 OK 按钮 ,弹出 如 图 6. 99 所 示 的 在 指定 硬盘 中 选 
择 源 分 区 的 界面 ,如 果 需 要 对 C 盘 中 的 内 容 进行 备份 , 则 单 击 C 盘 选 中 C 盘 分 区 ,再 单 击 
OK 按钮 ,弹出 如 图 6. 100 所 示 的 输入 镜像 文件 路 径 的 界面 。 需 要 说 明 的 是 ,存储 镜像 文 
件 的 分 区 的 存储 空间 必须 大 于 源 分 区 的 存储 空间 。 输 入 镜像 文件 的 完整 路 径 后 ,弹出 如 
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图 6. 101 所 示 的 选择 镜像 文件 压缩 方式 的 界面 ,其 各 项 含义 如 下 。 





下 ] Symantec Ghost 








[= [3] 





图 6.97 选择 Partition->Image 传输 方式 





)] Symantec Ghost 





A 





Sl[z| 


Copyiont H P05 Gym 











图 6.98 选择 源 分 区 所 在 硬盘 











No: 不 压缩 镜像 文件 ,这 是 最 快 的 备份 方式 ,但 由 于 不 对 镜像 文件 进行 压缩 ,因此 需 


要 大 于 源 分 区 的 存储 空间 。 





Fast: 快速 备份 ,采用 快速 但 压缩 比较 小 的 压缩 方式 。 
High: 采用 高 压缩 比 的 压缩 方式 ,但 需要 较 长 的 备份 时 间 , 这 是 一 种 用 时 间 换 空间 的 
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再] Symantec Ghost 











图 6.99 在 指定 硬盘 中 选择 源 分 区 





下 Symantec Ghost 














6. 100 输入 镜像 文件 路 径 


备份 方式 。 


单 让 





Ff 选中 的 压缩 方式 后 ,弹出 如 图 6. 102 所 示 的 确认 备份 界面 , 单 击 Yes 按钮 ,开始 


Partition>Image 传输 过 程 ,将 源 分 区 中 的 内 容 备 份 到 指定 的 镜像 文件 中 。 


(2) 


Image~Partition 传输 过 程 


当 光 标 经 Local、Partition 指向 From Image 时 ,弹出 如 图 6. 103 所 示 的 选择 Image- 
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] Symantec Ghost 


Type:7 [NTFS], 51207 HB, 19383 MB used, Ne name 
Local drive [1], 152627 MB 
Lecal file Devehost.5H0 


OG 








图 6.101 选择 镜像 文件 压缩 方式 





)] Symantec Ghost Es[E] 


Type:? [MTFS], S1207 MB, 19383 HB used, No name 
Leeal drive [11, 152627 














6.102 确认 备份 


Partition 传输 方式 的 界面 。 单 击 From Image 按钮 ,弹出 如 图 6. 104 所 示 的 输入 镜像 文 
件 完整 路 径 的 界面 ,输入 镜像 文件 完整 路 径 后 , 单 击 Open 按钮 ,开始 指定 目的 分 区 所 在 
硬盘 、 在 指定 的 硬盘 中 选择 目的 分 区 的 操作 过 程 ,确定 目的 分 区 后 ,开始 Image 一 
Partition 传输 过 程 ,将 目的 分 区 中 的 内 容 还 原 为 镜像 文件 中 的 内 容 。 确 定 目 的 分 区 的 过 
程 与 确定 源 分 区 的 过 程 相 同 , 因 此 不 再 袭 述 。 
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|] Symantec Ghost 








图 6.103 选择 Image-~Partition 传输 方式 





DY) Symantec Ghost [ESITEI 














6.104 ”指定 镜像 文件 


3. Ghost 应 用 

(1) 备份 系统 盘 

人 们 通常 将 C 盘 作 为 系统 盘 安 装 操作 系统 和 常用 软件 ,然后 将 C 盘 备 份 到 DD 盘 或 下 
盘 中 的 某 个 镜像 文件 中 。 一 旦 系统 出 现 问题 ,通过 将 C 盘 内 容 还 原 为 D 盘 或 下 盘 中 某 个 
镜像 文件 的 内 容 来 恢复 系统 盘 。 
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这 个 过 程 需要 完成 C 盘 习 镜像 文件 和 镜像 文件 ~C 盘 的 传输 过 程 。 

(2) 硬盘 复制 

如 果 一 批 计算 机 的 硬件 配置 完全 相同 , 则 可 以 在 一 台 计 算 机 上 安装 系统 ,然后 通过 硬 
盘 复制 过 程 将 安装 好 的 系统 复制 到 其 他 计算 机 的 硬盘 中 。 这 个 过 程 需要 完成 Disk 一 
Disk 的 传输 过 程 。 

当 光 标 经 Local、Disk 指向 To Disk 时 ,弹出 如 图 6. 105 所 示 的 选择 Disk>Disk 传输 
方式 的 界面 。 将 已 经 安装 系统 的 硬盘 作为 源 硬盘 ,将 需要 复制 系统 的 硬盘 作为 目的 硬盘 ， 
启动 源 硬盘 ~ 目的 硬盘 的 传输 过 程 。 





到 Symantec Ghost [S| [| 











图 6.105 选择 Disk->Disk 传输 方式 


本 章 小 结 


存储 在 计算 机 和 手机 中 的 私密 信息 可 能 涉及 用 户 的 财产 安全 ,因此 成 了 黑客 的 攻 
击 目标 。 

数据 保护 技术 指 用 于 保障 存储 在 计算 机 和 手机 中 的 数据 的 保密 性 、 完 整 性 和 可 用 
性 的 技术 。 

加 密 、 完 整 性 检测 ,访问 控制 和 备份 还 原 是 常用 的 数据 保护 机 制 。 

Windows 7 基于 用 户 实施 数据 保护 机 制 。 

Windows 7 通过 创建 账户 创建 合法 用 户 , 只 有 合法 用 户 才 能 登录 Windows 7。 
Windows 7 基于 用 户 实现 EFS。 

BitLocker 可 以 加 密 分 区 。 

Windows 7 可 以 为 每 一 个 用 户 分 配 访问 资源 的 权限 。 


本 i 
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Windows 7 自 带 备份 还 原 工 具 。 
Ghost 是 一 种 用 于 实现 数据 备份 和 还 原 的 软件 。 
腾讯 手机 管家 具有 保护 手机 私密 信息 的 功能 。 


习 题 


列举 存储 在 计算 机 和 手机 中 的 私密 信息 因为 泄露 而 遭受 重大 损失 的 例子 。 

列举 存储 在 计算 机 和 手机 中 的 私密 信息 因为 被 算 改 而 遭受 重大 损失 的 例子 。 
列举 存储 在 计算 机 和 手机 中 的 私密 信息 因为 被 破坏 而 遭受 重大 损失 的 例子 。 
简 述 保障 数据 保密 性 的 安全 技术 。 

简 述 保障 数据 完整 性 的 安全 技术 。 

简 述 保障 数据 可 用 性 的 安全 技术 。 

简 述 Windows 7 中 用 户 的 含义 。 

简 述 创建 用 户 时 设置 密码 的 重要 性 。 

简 述 账户 管理 策略 与 创建 账户 和 设置 密码 之 间 的 关系 。 

10 简 述 EFS 的 密 钥 链 ,说 明 用 户 个 人 目录 下 证 书 的 作用 。 

11 如果 用 户 A 需要 打开 用 户 B 用 EFS 加 密 的 文件 ,有 什么 方法 ? 

12 BitLocker 解密 分 区 时 需要 解锁 密码 或 者 密 钥 ,应 如 何 保存 密 钥 ? 

13 ”腾讯 手机 管家 保护 私密 信息 的 机 制 有 什么 作用 ? 

14 Windows 7 的 访问 控制 机 制 如 何 限制 特定 用 户 对 某 个 资源 的 访问 权限 ? 

15 简 述 Ghost 备份 和 还 原 系 统 盘 的 过 程 。 


iD oo 口上 上 oo 
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Windows 7 网 络 安全 技术 


Windows 7 的 网 络 安全 功能 包括 个 人 防火 墙 、 连 接 安 全 规则 和 网 络 监控 命令 等 。 个 
人 防火 墙 用 于 确定 计算 机 允许 发 起 的 会 话 和 人 允许 接收 的 会 话 。 连 接 安 全 规则 用 于 终端 之 
间 的 安全 传输 过 程 。 网 络 监控 命令 可 以 监测 计算 机 已 经 发 起 和 接收 的 会 话 的 状态 ,以 及 
计算 机 连接 的 网 络 的 状态 等 。 


7.1 Windows 7 防火 墙 


Windows 7 防火 墙 是 Windows 7 自 带 的 个 人 防火 墙 ,能 够 指定 作为 会 话 发 起 方 或 响 
应 方 的 程序 或 进程 ,因此 能 够 基于 程序 或 进程 控制 会 话 的 发 起 和 响应 过 程 。 入 站 规则 用 
于 禁止 输入 或 允许 输入 会 话 发 起 方 发 送 的 用 于 创建 会 话 的 报 文 。 出 站 规则 用 于 禁止 输出 
或 允许 输出 会 话 发 起 方 发 送 的 用 于 创建 会 话 的 报 文 。 


7.1.1 防火 墙 的 作用 和 工作 原理 


1. 防火 墙 的 作用 

计算 机 一 旦 与 网 络 相连 ,就 有 可 能 遭受 黑客 的 远程 攻击 ,就 有 可 能 被 植 人 病毒 ,就 有 
可 能 泄露 私密 信息 。 但 随 着 网 络 的 广泛 应 用 , 绝 大 多 数 计 算 机 都 是 与 网 络 相 连 的 。 因 此 ， 
需要 一 种 既 能 保障 计算 机 与 网 络 之 间 的 正常 数据 交换 过 程 ,又 能 阻止 对 计算 机 有 害 的 数 
据 通 过 网 络 进入 计算 机 的 安全 技术 ,这 种 技术 就 是 防火 墙 。 防火墙 的 作用 如 图 7. 1 所 示 ， 
用 于 过 滤 终 端 与 网 络 之 间 传 输 的 网 际 协议 (Internet Protocol,IP) 分 组 ,这 里 的 终端 泛 指 
连接 到 网 络 的 计算 机 。 过 滤 的 含义 就 是 在 一 组 IP 分 组 中 挑 出 符合 特定 条 件 的 一 部 分 IP 
分 组 ,允许 或 者 阻止 这 部 分 IP 分 组 在 终端 和 网 络 之 间 传 输 。 








局 鲁 门 

尽 Cn 站 
终端 大 

i211.1 。 的 人 it 





图 7.1 防火 墙 的 作用 


2. 防火 墙 的 工作 原理 
防火 墙 的 功能 分 为 两 部 分 : 一 是 定义 分 类 规则 ;二 是 对 符合 分 类 规则 的 IP 分 组 实施 
动作 ,实施 的 动作 包括 允许 继续 传输 和 丢弃 。 允 许 继 续 传输 是 指 允许 符合 分 类 规则 的 IP 
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分 组 在 终端 与 网 络 之 间 传 输 。 丢 弃 是 指 禁 止 符合 分 类 规则 的 IP 分 组 在 终端 与 网 络 之 间 
传输 。 

分 类 规则 用 于 在 一 组 IP 分 组 中 挑选 出 符合 特定 条 件 的 IP 分 组 ,这 些 条 件 是 IP 分 组 
首部 中 特定 字段 的 值 ,或 者 作为 IP 分 组 净 荷 的 传输 控制 协议 (Transmission Control 
Protocol,TCP) 报 文 和 用 户 数据 报 协议 (User Datagram Protocol, UDP) 报 文 首部 中 特定 
字段 的 值 。 

IP 分 组 首部 如 图 7. 2(a) 所 示 ,常用 来 作为 挑选 IP 分 组 条 件 的 首部 字段 值 包括 协议 、 
源 IP 地 址 和 目的 IP 地 址 等 ,UDP 报 文 首部 如 图 7. 2(b) 所 示 ,在 UDP 报 文 作为 卫 分 组 
净 荷 的 情况 下 ,常用 来 作为 挑选 IP 分 组 条 件 的 UDP 报 文 首 部 字段 值 包括 源 端口 号 和 目 
的 端口 号 等 。 同 样 ,在 TCP 报 文 作为 IP 分 组 净 荷 的 情况 下 ,常用 来 作为 挑选 IP 分 组 条 
件 的 TCP 报 文 首部 字段 值 包括 源 端口 号 和 目的 端口 号 等 。 





























版 本 | 首部 长 度 | 服务 类 型 总 长 度 
标识 | 标志 片 偏 移 
生存 时 间 协议 | 首部 检验 和 
源 地 址 
目的 地 址 
(@) IP 分 组 首部 





源 端 口号 ”| 目的 端口 号 
UDP 报 文 长 度 | ”检验 和 
(b) UDP 报 文 首部 
图 7.2 可 以 作为 条 件 的 耳 分 组 首部 和 UDP 报 文 首部 的 字段 值 











因此 分 类 规则 可 以 由 以 下 条 件 组 成 : 

协议 字段 值 王 xl 

源 IP 地 址 一 x2 

目的 IP 地 址 一 x3 

源 端 口号 =x4(xl 王 UDP 或 TCP) 

目的 端口 号 =x5(Cxl 王 UDP 或 TCP) 

图 7.1 中 终端 发 送 给 Web 服务 器 的 IP 分 组 符合 以 下 分 类 规则 ， 

协议 字段 值 =6(IP 分 组 净 荷 是 TCP 报 文 ) 

源 IP 地 址 二 192. 1.1.1/32 

目的 IP 地 址 一 20. 10. 1. 1/32 

源 端 口号 一 * 

目的 端口 号 = 二 80(HTTP 对 应 的 著名 端口 号 ) 

其 中 协议 字段 值 =6, 表 明 IP 分 组 净 荷 是 TCP 报 文 。 源 IP 地 址 二 192. 1. 1. 1/32, 表 
明 源 IP 地 址 是 唯一 的 IP 地址 192. 1. 1.1, 即 只 能 是 图 7. 1 中 终端 发 送 的 IP 分 组 。 目 的 
IP 地 址 二 20. 10.1. 1/32, 表 明 目 的 IP 地 址 是 唯一 的 IP 地 址 20. 10. 1. 1, 即 只 能 是 发 送 给 
图 7.1 中 Web 服务 器 的 IP 分 组 。 也 可 以 用 * 目 的 IP 地址 ==20. 10. 1. 0/24” 作 为 条 件 ， 
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CIDR 地 址 块 20. 10. 1. 0/24 表示 一 组 IP 地 址 ,该 组 IP 地 址 的 范围 是 20. 10. 1. 0 一 20. 
10. 1.255, 因 此 ,所 有 属于 CIDR 地 址 块 20. 10. 1. 0/24 的 目的 IP 地址 都 符合 条 件 “ 目 的 
IP 地 址 二 20. 10. 1.0/24”。 源 端口 号 二 * ,表明 TCP 报 文 的 源 端 口号 可 以 是 任意 值 ,这 
是 因为 终端 访问 Web 服务 器 时 ,终端 选择 的 临时 端口 号 是 不 确定 的 。 目 的 端口 号 二 80， 
表明 TCP 报 文 的 目的 端口 号 等 于 80, 这 是 因为 终端 发 送 给 Web 服务 器 的 TCP 报 文 的 目 
的 端口 号 是 确定 的 ,是 HTTP 对 应 的 著名 端口 号 80。 因 此 ,符合 上 述 分 类 规则 的 IP 分 组 
只 能 是 终端 发 送 的 用 于 访问 Web 服务 器 的 IP 分 组 。 


712 入 站 规则 和 出 站 规则 


1. 个 人 防火 墙 的 功能 

将 安装 在 计算 机 中 用 于 对 单个 计算 机 与 网 络 之 间 进行 的 数据 交换 过 程 实施 控制 的 防 
火 墙 称 为 个 人 防火 墙 ,也 称 主机 防火 墙 。Windows 7 自 带 个 人 防火 墙 。 

(1) 会 话 的 含义 

会 话 是 指 两 个 运行 在 不 同 终 端 上 的 进程 之 间 的 数据 交换 过 程 ,如 图 7. 3 所 示 。 目 前 常 





见 的 会 话 有 TCP 连接 .UDP 会 话 和 Internet 控制 三 回 

报 文 协 议 (Internet Control Message Protocol， 亡 [= 上 

ICMP)ECHO 请 求 和 响应 过 程 。 终端 A 终端 B 
对 于 TCP 连接 ,会 话 分 为 三 个 阶段 , 即 TCP 图 7.3 会 话 


连接 建立 阶段 ,数据 传输 阶段 .TCP 连接 释放 阶 

段 。 通 过 TCP 连接 建立 过 程 创建 会 话 ,并 用 两 端 插口 唯一 标识 创建 的 会 话 , 持 口 由 标识 
终端 的 32 位 IP 地 址 和 标识 进程 的 16 位 端口 号 组 成 。 创 建 会 话 后 ,所 有 两 端 插口 与 标识 
该 会 话 的 两 端 插口 相同 的 TCP 报 文 都 是 属于 该 会 话 的 TCP 报 文 ,通过 TCP 连接 释放 过 
程 删 除 会 话 。 

对 于 UDP 会 话 , 传 输 第 一 个 UDP 报 文 时 创建 UDP 会 话 , 并 用 该 UDP 报 文 的 两 端 
插口 唯一 标识 该 UDP 会 话 ,所 有 两 端 插口 与 标识 该 UDP 会 话 的 两 端 插口 相同 的 UDP 
报 文 都 是 属于 该 会 话 的 UDP 报 文 。 如 果 在 规定 时 间 内 一 直 没 有 传输 两 端 插口 与 标识 该 
UDP 会 话 的 两 端 插口 相同 的 UDP 报 文 , 则 删除 该 UDP 会 话 。 

对 于 ICMP ECHO 请 求 . 响 应 过 程 ,一 次 ICMP ECHO 请 求 . 响 应 过 程 属于 一 个 会 
话 , 会 话 用 ICMP ECHO 报 文 的 两 端 IP 地 址 和 序号 (或 标识 符 ) 唯 一 标识 。 

(2) 会 话 发 起 方 和 响应 方 

对 于 TCP 连接 ,会 话 发 起 方 是 发 送 请 求 建立 TCP 连接 的 请 求 报 文 的 一 方 ,响应 方 是 
发 送 同 意 建立 TCP 连接 的 响应 报 文 的 一 方 。 

对 于 UDP 报 文 , 会 话 发 起 方 是 发 送 创 建 UDP 会 话 的 第 一 个 UDP 报 文 的 一 方 ,响应 
方 是 接收 创建 UDP 会 话 的 第 一 个 UDP 报 文 的 一 方 。 

对 于 ICMP ECHO 请 求 ,响应 过 程 ,会 话 发 起 方 是 发 送 ICMP ECHO 请 求 报 文 的 一 
方 ,响应 方 是 发 送 对 应 的 ICMP ECHO 响应 报 文 的 一 方 。 

(3) 阻止 会 话 建立 

个 人 防火 墙 的 核心 功能 是 阻止 会 话 建立 。 对 于 会 话 发 起 方 ,阻止 会 话 建立 的 方法 是 
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禁止 输出 会 话 发 起 方 发 送 的 用 于 创建 会 话 的 报 文 。 对 于 会 话 响应 方 , 阻 止 会 话 建立 的 方 
法 是 禁止 输入 会 话 发 起 方 发 送 的 用 于 创建 会 话 的 报 文 。 

2. 入 站 规则 

人 站 规则 用 于 禁止 输入 ,或 允许 输入 会 话 发 起 方 发 送 的 用 于 创建 会 话 的 报 文 。 可 以 
用 IP 地 址 唯一 指定 会 话 发 起 方 所 在 的 终端 ,用 端口 号 唯一 指定 作为 会 话 发 起 方 的 进程 ， 
用 程序 唯一 指定 作为 会 话 响应 方 的 进程 ,可 以 用 协议 指定 会 话 类 型 。 

入 站 规则 实例 如 图 7.4 所 示 ,假定 允许 终端 B 中 的 进程 发 起 建立 与 终端 A 中 的 360 
安全 卫士 之 间 的 TCP 连接 , 则 需要 为 终端 A 配置 以 下 入 站 规则 。 

远程 IP 地 址 : 192. 1.1.1 

远程 端口 号 : 任意 

协议 类 型 : TCP 

本 地 程序 : 360 安全 卫士 

禁止 或 允许 连接 : 允许 连接 

当 终 端 A 运行 360 安全 卫士 时 ,如 果 终 端 A 接收 到 终端 B 发 送 的 请 求 建立 与 360 安 
全 卫士 之 间 的 TCP 连接 的 请 求 报 文 , 则 终端 A 允许 360 安全 卫士 向 终端 了 B 发 送 同意 建 
立 TCP 连接 的 响应 报 文 。 成 功 建立 终端 B 中 进程 与 终端 A 中 360 安全 卫士 之 间 的 TCP 
连接 后 ,允许 360 安全 卫士 发 送 ,接收 属于 该 TCP 连接 的 TCP 报 文 。 

3. 出 站 规则 
出 站 规则 用 于 禁止 输出 ,或 允许 输出 会 话 发 起 方 发 送 的 用 于 创建 会 话 的 报 文 。 可 以 
用 IP 地址 唯一 指定 会 话 响应 方 所 在 的 终端 ,用 端口 号 唯一 指定 作为 会 话 响应 方 的 进程 ， 
用 程序 唯一 指定 作为 会 话 发 起 方 的 进程 ,用 协议 指定 会 话 类 型 。 
出 站 规则 实例 如 图 7. 5 所 示 ,假定 禁 止 终端 A 中 的 Internet Explorer 发 起 建立 与 
Web 服务 器 之 间 的 TCP 连接 , 则 需要 为 终端 A 配置 以 下 出 站 规则 。 



































[L360 安全 卫士 IE 
一 一 号 号 一 一 总 
CC 可 = 己 可 = 
终端 A 终端 B 终端 A Web 服 务 器 
192.1.1.1 192.1.1.1 
图 7.4 入 站 规则 实例 图 7.5 出 站 规则 实例 


远程 IP 地址: 192. 1. 1.1 

远程 端口 号 : 80、443 

协议 类 型 : TCP 

本 地 程序 : Internet Explorer 

禁止 或 允许 连接 : 禁止 连接 

当 终端 A 中 的 Internet Explorer 发 送 目的 IP 地 址 为 192. 1. 1.1、 净 荷 为 TCP 报 文 
且 TCP 报 文 的 目的 端口 号 为 80 或 443 的 IP 分 组 时 ,终端 A 丢弃 该 IP 分 组 。 因 此 ,终端 
A 中 的 Internet Explorer 无 法 建立 与 Web 服务 器 之 间 的 TCP 连接 ,从 而 无 法 成 功 访问 
该 Web 服务 器 。 
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713 Windows 7 防火 墙 配置 实例 


Windows 7 防火 墙 是 Windows 7 操作 系统 自 带 的 个 人 防火 墙 , 通 过 设置 入 站 规则 禁 
止 或 允许 外 部 终端 发 起 建立 与 该 计算 机 中 某 个 进程 之 间 的 会 话 。 通 过 设置 出 站 规则 禁止 
或 允许 该 计算 机 中 的 某 个 进程 发 起 建立 与 外 部 终端 之 间 的 会 话 。 

本 配置 实例 要 求 通过 设置 出 站 规则 ,禁止 用 户 通 过 Internet Explorer 访问 百度 网 站 。 
假定 已 经 获取 百度 网 站 的 IP 地 址 是 112. 80. 248. 74、112. 80. 248. 73 和 112. 80. 252. 32。 

1. 出 站 规则 

禁止 用 户 通过 Internet Explorer 访问 百度 网 站 的 出 站 规则 如 下 。 

远程 IP 地 址 : 112. 80. 248. 74、112. 80. 248. 73 和 112. 80. 252. 32 

远程 端口 号 : 所 有 

协议 类 型 : 任何 

本 地 程序 : Internet Explorer 

禁止 或 允许 连接 : 禁止 连接 

2. 配置 过 程 

(1) 防火 墙 属性 配置 

完成 “开始 ”>“ 控 制 面板 ”>“ 系 统 和 安全 ”>“Windows 防火 墙 ?操作 过 程 , 弹 出 如 
图 7.6 所 示 的 Windows 防火 墙 界面 。 单 击 “ 高 级 设置 "按钮 ,弹出 如 图 7.7 所 示 的 高 级 设 
置 界面 。 可 以 单独 为 域 , 专 用 网 络 和 公用 网 络 配置 防火 墙 。 当 计算 机 加 入 某 个 域 时 ,为 域 
配置 的 防火 墙 作 用 。 当 计算 机 位 于 家 庭 局 域 网 时 ,为 专用 网 络 配置 的 防火 墙 作 用 。 当 计 
算 机 接 入 Internet 时 ,为 公用 网 络 配置 的 防火 墙 作 用 。 单 击 “Windows 防火 墙 属性 ” 按 
钮 ,弹出 如 图 7. 8 所 示 的 防火 墙 属性 配置 界面 。 防 火 墙 的 状态 可 以 选择 “启用 ”和 “关闭 ”， 
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文人 编 咏 E) 过 看 VM] 工 上 (7) 帮助 (H) 


使 用 Windows 防火 墙 来 帮助 保护 您 的 计算 机 

Windows 防火 关 有 有 于 防止 村 或 天意 软 从 还 过 Internet 或 网 必 询 辣 交 的 计 茵 机 。 
的 50 全 是 的 村 太 计 算 丰 7 

什么 晤 网络 位 置 ? 


攻守 Ifo) 




















7.6 ”Windows 防火 墙 
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启用 表明 防火 墙 作用 ,关闭 表明 防火 墙 不 作用 。 入 站 连接 有 三 种 选择 : 阻止 (默认 值 )、 阻 
止 所 有 连接 和 人 允许 。 
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图 7.7 Windows 防火 墙 高 级 设置 


一 一 一 
高 级 安全 Windows 防火 墙 - 本 地 计算 机 履 性 
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图 7.8 Windows 防火 墙 属性 配置 


















































阻止 (默认 值 ): 除了 入 站 规则 明确 允许 的 由 外 部 终端 发 起 建立 的 与 该 计算 机 中 某 个 
进程 之 间 的 会 话 以 外 ,禁止 其 他 所 有 由 外 部 终端 发 起 建立 的 与 该 计算 机 之 间 的 会 话 。 

阻止 所 有 连接 : 禁止 所 有 由 外 部 终端 发 起 建立 的 与 该 计算 机 之 间 的 会 话 。 

人 允许: 除了 入 站 规则 明确 禁止 的 由 外 部 终端 发 起 建立 的 与 该 计算 机 中 某 个 进程 之 间 
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的 会 话 以 外 ,允许 其 他 所 有 由 外 部 终端 发 起 建立 的 与 该 计算 机 之 间 的 会 话 。 

出 站 连接 有 两 种 选择 : 允许 (默认 值 ) 和 阻止 。 

允许 (默认 值 ) : 除了 出 站 规则 明确 禁止 的 由 该 计算 机 中 的 某 个 进程 发 起 建立 的 与 外 
部 终端 之 间 的 会 话 以 外 ,允许 其 他 所 有 由 该 计算 机 发 起 建立 的 与 外 部 终端 之 间 的 会 话 。 

阻止 : 除了 出 站 规则 明确 允许 的 由 该 计算 机 中 的 某 个 进程 发 起 建立 的 与 外 部 终端 之 
间 的 会 话 以 外 ,禁止 其 他 所 有 由 该 计算 机 发 起 建立 的 与 外 部 终端 之 间 的 会 话 。 

单独 为 三 种 分 别 作用 于 域 . 专 用 网 络 和 公用 网 络 的 防火 墙 配置 属性 ,完成 配置 后 , 单 
击 “ 确 定 ” 按 钮 ,完成 防火 墙 属性 配置 的 过 程 。 

(2) 出 站 规则 配置 过 程 

当 弹 出 如 图 7.7 所 示 的 Windows 防火 墙 高 级 设置 界面 时 , 单 击 “ 出 站 规则 ”按钮 , 弹 
出 如 图 7.9 所 示 的 出 站 规则 配置 界面 。 单 击 “ 新 建 规则 ”按钮 ,弹出 如 图 7. 10 所 示 的 出 站 
规则 类 型 选择 界面 。 在 创建 的 规则 类 型 中 选择 “程序 (P)”, 单 击 “ 下 一 步 ” 按 钮 ,弹出 如 
图 7.11 所 示 的 程序 完整 路 径 设置 界面 。 在 “此 程序 路 径 (T)" 输 入 栏 中 输入 指定 程序 在 
计算 机 中 的 完整 路 径 , 这 里 是 iexplore. exe 的 完整 路 径 C:\ProgramFiles\ Internet 
Explorer\iexplore. exe。 单 击 * 下 一 步 "按钮 ,弹出 如 图 7. 12 所 示 的 出 站 规则 匹配 操作 选 
择 界面 。 匹 配 出 站 规则 时 的 操作 可 以 是 允许 连接 或 阻止 连接 。 选 择 * 阻 止 连接 (K)”, 单 
击 “ 下 一 步 ” 按 钮 ,弹出 如 图 7. 13 所 示 的 出 站 规则 作用 环境 选择 界面 。 这 里 的 选择 规则 同 
时 作用 于 域 . 专 用 网 络 和 公用 网 络 。 单 击 “ 下 一 步 " 按 钮 ,弹出 如 图 7. 14 所 示 的 输入 规则 
名 称 的 界面 。 为 该 规则 取 名 “阻止 ie”, 可 以 在 描述 中 给 出 该 规则 的 详细 说 明 。 单 击 “ 完 
成 ”按钮 ,完成 新 规则 的 创建 过 程 。 创 建新 规则 后 ,出 站 规则 中 增加 了 名 为 “阻止 ie” 的 规 
则 ,如 图 7.15 所 示 。 
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图 7.9 出 站 规则 配置 
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要 创建 的 规则 类 型 


回程 序 () 


吴 端 D0) 

控制 TC 或 WP 应 口 连接 的 规则 

日 预定 义 @): 
BranchCache - 对 等 机 发 现 (使 用 YSD) 
控制 Wndors 体验 功能 连接 的 规 刚 。 

目 自 定义 CC) 
自 定义 规则 























图 7.10 出 站 规则 类 型 选择 








程序 
指定 此 规 刚 玫 配 的 程序 的 完整 程 序 路 径 和 可 执行 程序 名 称 。 


该 规则 应 用 于 所 有 程序 还 是 特定 程序 ? 


口 所 有 程序 OA) 
规则 应 用 于 与 其 他 规 刚 属性 相 玫 BR 计算 机 上 的 所 有 连接 。 
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图 7.11 程序 完整 路 径 设 置 








指定 在 连接 与 规则 中 指定 的 条 件 相 玫 本 9 要 执行 的 操作 。 


连接 符合 指定 条 件 时 应 该 进行 什么 操作 ? 


日 允许 连接 (0) 
这 四 括 使 用 IPSec 保护 以 及 未 使 用 IPSec 保护 的 连接 。 


日 只 允许 安全 连接 (C) 
j IPSec 浊 











< 上 = 步 oj)] [下 = 步 m >] (双生 











图 7.12 出 站 规则 匹配 操作 选择 








何 时 应 用 该 规则 7 
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计算 机 连接 到 其 企业 域 时 应 用 。 
专用 @) 

计算 机 连接 到 专用 网 络 位 置 时 应 用 *。 
公用 CD 

计算 机 连接 到 公用 网 络 位 置 时 应 用 。 
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图 7.15 添加 出 站 规则 “阻止 ie” 


(3) 配置 规则 属性 

由 于 该 规则 没有 指定 远程 终端 范围 ,因此 禁止 一 切 由 程序 iexplore. exe 发 起 建立 的 
与 外 部 终端 之 间 的 会 话 ,用户 无 法 通过 浏览 器 Internet Explorer 访问 任何 网 站 ,图 7. 16 
所 示 是 启动 浏览 器 Internet Explorer 后 的 界面 ,该 界面 表明 无 法 访问 浏览 器 的 默认 主页 。 
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为 了 设置 远程 终端 的 范围 ,在 出 站 规则 中 选中 该 规则 ,在 弹出 的 “阻止 ie” 规 则 的 配置 菜单 
中 选择 “属性 ”, 弹 出 如 图 7.17 所 示 的 “阻止 ie 属性 ”界面 。 选 中 “作用 域 ” 选 项 卡 , 在 远程 
IP 地 址 中 选择 “下 列 IP 地 址 ”, 单 击 “ 添 加 ”按钮 ,弹出 如 图 7. 18 所 示 的 添加 远程 IP 地 址 
的 界面 。 选 择 “ 此 IP 地 址 或 子 网 (A)”, 在 地 址 栏 中 输入 IP 地 址 112. 80. 248. 74 ,该 IP 地 
址 是 百度 服务 器 的 地 址 之 一 。 单 击 “ 确 定 ” 按 钮 ,完成 一 个 IP 地 址 的 输入 过 程 ,远程 IP 地 
址 的 地 址 栏 中 出 现 输入 的 IP 地 址 ,如 图 7. 19 所 示 。 为 了 阻止 浏览 器 成 功 访问 百度 服务 
器 ,远程 IP 地 址 范围 中 列 出 所 有 可 能 的 百度 服务 器 的 IP 地 址 。 依 次 输入 这 些 IP 地 址 ， 
最 终 的 远程 IP 地 址 的 地 址 栏 中 出 现 如 图 7. 20 所 示 的 远程 IP 地 址 列表 。 单 击 “ 确 定 ” 按 
钮 ,完成 “阻止 ie” 规则 属性 配置 的 过 程 。 重 新 启动 浏览 器 Internet Explorer, 出 现 如 
图 7. 21 所 示 的 浏览 器 默认 主页 ,表明 浏览 器 可 以 成 功 访问 该 默认 主页 。 在 浏览 器 地 址 栏 
中 输入 URL: www. baidu. com, 出 现 如 图 7. 22 所 示 的 访问 结果 ,表明 浏览 器 无 法 成 功 访 
问 百度 服务 器 。 
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图 7.16 出 站 规则 “阻止 ie" 禁止 ie 访问 所 有 网 站 
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出 除 中 
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7.17 配置 出 站 规则 “阻止 ie” 远 程 IP 地 址 列表 
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指定 要 匹配 的 I 地址 : 


回 此 IP 地 址 或 了 网 只): 
112.80.248.74 


示例 :192.168.0.12 
192. 168. 1.0/24 





2002:9d3b:1a31:4:208:74ff; £639:6c43 







































































属性 ee _ 
[之 规 [程序 和 服务 计算 机 [协议 和 滑 口 | 作 内 域 
本 地 IP 地 址 
加 任何 ?地址 加 
© 下 列 I? 地 址 0) 
Emo |] 
EEC 
|_ 几 (E) 
运程 I 地 址 
Es © 任何 节 地 址 0) 
余下 列 IF 地 址 00: 
112. 80.248.74 添加 
编辑 J)， ] 
是 除 ) ] 









































[CC 本 CC |] CBRW 

















7.19 在 远程 卫 地 址 列表 中 成 功 添加 一 个 卫 地址 


值得 指出 的 是 ,虽然 该 规则 选择 的 协议 类 型 是 “任何 ”, 即 包含 所 有 协议 ,但 由 于 该 规 
则 只 是 用 于 禁止 由 程序 iexplore. exe 发 起 建立 的 与 外 部 终端 之 间 的 会 话 , 因 此 ,该 规则 不 
禁止 由 其 他 程序 发 起 建立 的 与 百度 服务 器 之 间 的 会 话 ,如 图 7. 23 所 示 的 命令 ping 
www. baidu. com 的 执行 结果 。 虽 然 域名 www. baidu. com 解析 出 的 IP 地 址 112. 80. 
248. 74 出 现在 “阻止 ie” 规 则 的 远程 IP 地 址 列表 中 ,但 仍然 可 以 通过 命令 ping www. 
baidu. com 完成 与 百度 服务 器 之 间 的 通信 过 程 。 
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同 任何 莫 地 址 GD) 
下 列 理 地 址 00 





112. 80.246.74 
112.80.246.73 
112.80.252.32 
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7.21 出 站 规则 “阻止 ie” 允 许 访问 远程 P 地 址 列表 没有 限制 的 网 站 





E25 





图 7.22 出 站 规则 “阻止 ie” 禁 止 访问 远程 IP 地址 列表 限制 的 网 站 
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图 7.23 ”出 站 规则 “阻止 ie" 不 限制 其 他 程序 ( 非 IE) 发 起 的 会 话 


7.14 个 人 防火 墙 的 安全 应 用 


1. 阻止 木马 病毒 泄露 私密 信息 

木马 病毒 泄露 计算 机 中 私密 信息 的 过 程 如 图 7. 24 所 示 , 植 和 计算 机 中 的 木马 服务 器 
主动 发 起 与 木马 客户 端 之 间 的 会 话 ,会 话 远 端 的 IP 地 址 是 无 法 确定 的 ,但 不 同 的 木马 
病毒 有 着 不 同 的 、 固 定 的 远 端 端口 号 ,因此 ,可 以 通过 配置 出 站 规则 阻止 计算 机 中 的 程序 
主动 发 起 远 端 端口 号 为 这 些 固 定 端口 号 的 会 话 , 以 此 阻止 木马 病毒 泄露 计算 机 中 的 私密 
























信息 。 
图 
黑客 终 站 
所 人 
客户 端 程序 
屋 内部 网 络 6 外 部 网 络 已 
攻击 目标 NAT 有 9 3 




















7.24 木马 病毒 泄露 私密 信息 的 过 程 


2. 阻止 蠕虫 病毒 入 侵 计算 机 

蠕虫 病毒 在 利用 计算 机 系统 软件 或 应 用 软件 的 漏洞 入 侵 计算 机 之 前 ,需要 与 计算 机 
建立 会 话 , 因 此 ,通过 配置 计算 机 的 和 人 站 规则 ,严格 控制 远程 发 起 的 与 计算 机 之 间 的 会 话 
可 以 有 效 遏 制 蠕虫 病毒 的 入 侵 。 
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7.2 IPSec 和 Windows 7 连接 安全 规则 


安全 传输 需要 满足 以 下 三 个 要 求 : 一 是 保证 在 两 个 可 信 终 端 之 间 进 行 数据 传输 过 
程 ;二 是 保证 传输 过 程 中 数据 的 完整 性 ;三 是 保证 传输 过 程 中 数据 的 保密 性 。Internet 安 
全 协议 (Internet Protocol Security,IPSec) 是 实现 数据 安全 传输 的 安全 协议 ,连接 安全 规 
则 是 Windows 7 利用 IPSec 实现 数据 安全 传输 的 机 制 。 


721 安全 传输 要 求 
实现 如 图 7. 25 所 示 的 两 个 终端 之 间 的 安全 传输 过 程 ,必须 满足 身份 鉴别 、 数 据 完整 








性 和 数据 保密 性 等 要 求 。 
呈 一 C7 入 
终端 A 终端 B 
图 7.25 网 络 结构 
1. 身份 鉴别 


实现 安全 传输 过 程 ,首先 需要 保证 数据 传输 过 程 是 在 两 台 可 信赖 的 计算 机 之 间 发 生 
的 。 可 信赖 的 计算 机 指 授权 通信 的 计算 机 。 因 此 ,在 实施 数据 传输 过 程 前 ,必须 对 另 一 端 
的 计算 机 的 身份 进行 鉴别 ,确定 对 方 是 授权 通信 的 计算 机 。 

2. 数据 完整 性 

数据 完整 性 有 两 个 方面 的 含义 : 一 是 保证 数据 在 传输 过 程 中 没有 被 自 改 ;二 是 能 够 
检测 出 数据 在 传输 过 程 中 发 生 的 任何 算 改 。 通常 通过 附加 消息 鉴别 码 (Message 
Authentication Code, MAC) 检 测 数据 在 传输 过 程 中 发 生 的 任何 算 改 ,双方 为 了 计算 和 验 
证 MAC ,需要 约定 报 文摘 要 算法 和 MAC 密 钥 。 

3. 数据 保密 性 

数据 保密 性 要 求 数据 在 传输 过 程 中 保证 不 被 泄露 。 通 常 通过 加 密 数据 实现 数据 保密 
性 。 双 方 为 了 加 密 和 解密 数据 需要 约定 加 密 算法 和 加 密 密 钥 。 


722 IPSec 


1. IPSec 安全 传输 数据 过 程 

(1) 建立 安全 关联 

IPSec 实现 数据 安全 传输 的 第 一 步 是 建立 两 个 终端 之 间 的 安全 关联 (Security 
Association,SA) 。 建 立 安全 关联 的 目的 有 两 个 : 一 是 完成 双方 身份 鉴别 过 程 ; 二 是 完成 
双方 加 密 算 法 .MAC 算法 .加 密 密 钥 和 MAC 密 钥 等 的 协商 过 程 。 如 图 7. 26 所 示 ,终端 
A 和 终端 B 之 间 建 立 双 向 安全 关联 的 过 程 中 ,终端 A 与 终端 B 一 是 完成 双向 身份 鉴别 过 
程 ,二 是 双方 通过 协商 ,约定 加 密 算 法 为 AES、MAC 算法 为 HMAC-SHA-1、 加 密 密 钥 为 
KEY1、MAC 密 钥 为 KEY2 。 
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安全 参数 安全 参数 
加 密 算法 : AES 加 密 算法 : AES 
MAC 算 法 : HMAC-SHA-1 MAC 算 法 : HMAC-SHA-1 
加 密 密 钥 : KEY1 加 密 密 钥 : KEY1 
MAC 密 钥 : KEY2 MAC 密 钥 : KEY2 

器] 加 

终端 A 终端 B 

图 7.26 安全 关联 
(2) 安全 传输 过 程 


安全 传输 过 程 如 图 7. 27 所 示 , 当 发 送 端 向 接收 端 传输 数据 时 ,发 送 端 首先 根据 加 密 
算法 AES 和 加 密 密 钥 KEY1 对 数据 明文 进行 加 密 , 得 到 数据 密 文 王 AESErxsw (数据 明 
文 ) ,其 中 AESE 表示 AES 的 加 密 算法 。 然 后 根据 MAC 算法 HAMC-SHA-1 和 MAC 
密 钥 KEY2 计算 数据 密 文 的 MAC, 得 到 MAC=HAMC-SHA-lxev (数据 密 文 ) 。 发 送 端 
发 送 给 接收 端的 是 串 接 在 一 起 的 数据 密 文 和 MAC。 


















































数据 明文 发 送 湛 | 接收 喘 数据 明文 
1 1 
1 
1 
KEY1 | KEY1 AESD 
数据 密 广 数据 密 广 
从 
不 相等 ， 完 整 
数据 密 文 | MAC 数据 密 文 MAC 性 检测 失败 

















图 7.27 安全 传输 过 程 


接收 端 接收 到 串 接 在 一 起 的 数据 密 文 和 MAC 后 ,重新 计算 数据 密 文 的 MAC ,得 到 
MAC' 二 HAMC-SHA-lreyz (数据 密 文 ) ,比较 接收 到 的 MAC 和 重新 计算 出 的 MAC' ,如 
果 相 等 , 则 表明 数据 密 文 在 传输 过 程 中 没有 被 自 改 ,解密 数据 密 文 ,得 到 数据 明文 = 
AESDkew (数据 密 文 ) ,其 中 AESD 表示 AES 解密 算法 。 如 果 不 相等 , 则 表明 数据 密 文 在 
传输 过 程 中 已 经 被 算 改 ,丢弃 接收 到 的 数据 密 文 。 

2. IPSec 建立 安全 关联 过 程 

IPSec 建立 安全 关联 过 程 分 为 两 个 阶段 : 第 一 阶段 是 建立 安全 传输 通道 ,建立 安全 通 
道 过 程 也 称 为 建立 Internet 密 钥 交换 协议 (Internet Key Exchange,IKE) 安 全 关联 过 程 ; 
第 二 阶段 是 建立 IPSec 安全 关联 阶段 。 在 Windows 7 中 ,第 一 阶段 称 为 主 模式 (Main 
Mode) 协 商 ,第 二 阶段 称 为 快速 模式 (Quick Mode) 协 商 。 

(1) 主 模式 协商 

主 模 式 协 商 过 程 如 图 7. 28 所 示 ,主要 完成 以 下 功能 。 

。 约定 安全 传输 通道 使 用 的 加 密 算 法 和 MAC 算法 。 
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加 密 算法 、MAC 算 法 和 密 钥 同步 算法 列表 
AES 、SHA-1 、Diffie-Hellman 组 2 








YA、 NonceA 





YA、 NonceA、 YB、 NonceB 





AESEkEy(IDA ~ SHA-1(IDAIGKEY)) 





AESEkEy(IDA ~ IDs、~ SHA-I(IDg|GKEY)) 











图 7.28 主 模 式 协商 过 程 


。 完成 密 钥 同步 过 程 。 

。 完成 双方 身份 鉴别 过 程 。 

如 图 7. 28 所 示 ,终端 A 和 终端 B 之 间 共 进行 三 次 信息 交换 过 程 ,第 一 次 信息 交换 过 
程 中 ,终端 A 列 出 它 所 支持 的 加 密 算法 .MAC 算法 和 密 钥 同步 算法 ,终端 B 在 终端 A 支 
持 的 算法 列表 中 选择 一 组 算法 作为 双方 约定 的 加 密 算 法 `MAC 算法 和 密 钥 生成 算法 ,如 
图 7.28 所 示 的 终端 B 选 择 AES 作为 加 密 算法 ,SHA-1 作为 MAC 算法 ,Diffie-Hellman 
组 2 作为 密 钥 生 成 算法 。 

第 二 次 信息 交换 过 程 用 于 完成 密 钥 同步 过 程 。Diffie-Hellman 密 钥 交 换算 法 同步 密 
钥 的 过 程 如 下 。 对 于 选 定 的 大 素数 p ,如果 集合 {a mod p,a? mod p,…,ar'! mod p}) 包 含 
了 1~p 一 1 的 所 有 整数 , 则 称 a 是 素数 p 的 原 根 。 因 此 ,对 于 1 一 /一 1 的 任何 整数 5, 存 
在 下 列 等 式 。 

b=a' mod p,1<i<p—1 
这 里 的 i 是 唯一 的 , 称 为 6 以 a 为 基 模 p 的 指数 ,或 者 称 为 6 以 a 为 基 模 p 的 离散 对 数 , 记 
作 ind,,s (5)。 

Diffie-Hellman 密 钥 交 换算 法 的 前 提 是 选择 一 个 大 素数 p 和 它 对 应 的 原 根 a。 如 果 
用 户 A 希望 和 用 户 B 交换 密 钥 K, 则 分 别 进行 如 下 计算 。 

Q@ 用 户 A 选择 一 个 小 于 p 的 随机 整数 XA, 使 得 YA 二 a* mod p, 将 XA 保留 ,将 
YA 传输 给 用 户 B。 

@ 用 户 B 选择 一 个 小 于 p 的 随机 整数 XB, 使 得 YB 二 a mod p, 将 XB 保留 ,将 YB 
传输 给 用 户 A。 

@ 用 户 A 根据 自身 保留 的 XA 和 用 户 B 发 送 的 YB, 求 出 密 钥 KA==YBY mod p。 

@ 用 户 B 根 据 自身 保留 的 XB 和 用 户 A 发 送 的 YA, 求 出 密 钥 KB 二 YA mod p。 

@ 双方 求 出 的 密 钥 相 同 ,KA 一 KB 二 K。 

由 于 双方 以 明文 方式 交换 YA 和 YB, 密 钥 K 的 安全 性 基于 双方 保留 的 XA 和 XB 的 
安全 性 ,因此 ,Diffie-Hellman 密 钥 交换 算法 必须 满足 无 法 通过 YA 和 YB 计算 出 XA 和 
XB 的 条 件 。 显 然 , XA 和 XB 的 安全 性 取决 于 大 素数 p 的 位 数 , 大 素数 p 的 位 数 越 大 ， 
XA 和 XB 的 安全 性 越 好 ,但 计算 密 钥 的 过 程 就 越 复杂 。 目 前 定义 了 三 组 不 同 长 度 的 大 素 
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数 p 和 对 应 的 原 根 a。 
第 1 组 : 大 素数 p 是 768 位 的 二 进 制 数 。 
第 2 组 : 大 素数 p 是 1024 位 的 二 进 制 数 。 
第 5 组 : 大 素数 p 是 1536 位 的 二 进 制 数 。 
在 使 用 Diffie-Hellman 密 钥 交 换算 法 时 ,只 要 选择 参数 组 号 ,就 可 以 确定 所 使 用 的 大 
素数 p 和 对 应 的 原 根 a ,上述 三 组 参数 分 别称 为 D-H-1 组 .D-H-2 组 和 D-H-5 组 。 
双方 以 为 基础 ,结合 双方 交换 的 随机 数 NonceA 和 NonceB 分 别 生 成 实现 数据 安 
全 传输 所 需要 的 全 部 密 钥 。 
第 三 次 信息 交换 过 程 完成 双方 身份 的 鉴别 过 程 ,这 里 假定 终端 A 和 终端 B 拥有 相同 
的 共享 密 钥 GKEY, 双方 向 对 方 证 明 自 己 身 份 的 方法 就 是 证 明 自 己 拥有 共享 密 钥 
GKEY。 终端 A 通过 给 出 SHA-1(ID。 上 GKEY ) 证 明 自 己 拥有 共享 密 钥 GKEY, 用 
SHA-1(IDA ‖ GKEY) 证 明 自 己 拥有 共享 密 钥 GKEY 的 原因 是 ,这 样 做 既 能 证 明 自 己 拥 
有 共享 密 钥 GKEY ,又 无 法 使 终端 B 通过 SHA-1(IDA 上 GKEY) 导 出 共享 密 钥 GKEY。 
同样 ,终端 B 通 过 SHA-1(IDs | GKEY) 证 明 自 己 拥有 共享 密 钥 GKEY。IDA 和 IDs 分 别 
是 终端 A 和 终端 B 的 标识 符 。 
(2) 快速 模式 协商 
快速 模式 协商 过 程 如 图 7. 29 所 示 ,主要 完成 以 下 功能 。 
。 双方 约定 IPSec 安全 关联 使 用 的 安全 协议 ,可 以 选择 的 安全 协议 有 封装 安全 净 荷 
(Encapsulating Security Payload, ESP) 和 鉴别 首部 (Authentication Header， 
AH)。 
。 选择 ESP 时 ,双方 约定 使 用 的 加 密 算法 和 MAC 算法 ,选择 AH 时 ,双方 约定 使 用 
的 MAC 算法 。 
如 图 7. 29 所 示 ,终端 A 和 终端 B 之 间 共 进行 两 次 信息 交换 过 程 ,第 一 次 信息 交换 过 
程 完 成 双方 安全 协议 ,以 及 安全 协议 相关 的 加 密 算法 和 MAC 算法 的 约定 。 第 二 次 信息 
交换 过 程 用 于 对 第 一 次 信息 交换 过 程 予 以 确认 。 
终端 A 终端 B 


品 局 
[LE] 


AESEkEy( 安 全 协议 、 加 密 和 MAC 算 法 列表 、ID。、 RA) 





AESEkEy(ESP-AES 、ESP-HMAC-SHA-1、IDA、RA、IDa ~ Rg) 





AESEkEy(SHA-1(ESP-AES ~ ESP-HMAC-SHA-1、 IDA~ Ra、 IDs、 Re)) 
| 
通知 





一 











7.29 快速 模式 协商 过 程 


3. AH 和 ESP 
IPSec 包含 两 种 安全 协议 ,分 别 是 AH 和 ESP,AH 用 于 保障 数据 传输 过 程 中 的 完整 
性 ,因此 ,AH 不 具有 对 数据 明文 进行 加 密 的 功能 。ESP 用 于 保障 数据 传输 过 程 中 的 保密 
性 和 完整 性 。 因 此 ,对 于 基于 AH 的 IPSec 安全 关联 ,双方 只 需要 约定 MAC 算法 和 
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MAC 密 钥 。 对 于 基于 ESP 的 IPSec 安全 关联 ,双方 需要 约定 加 密 算 法 .MAC 算 法、 加 密 
密 钥 和 MAC 密 钥 。 因 此 只 有 ESP 才能 实现 如 图 7. 27 所 示 的 安全 传输 过 程 ,AH 只 能 实 
现 如 图 7. 30 所 示 的 安全 传输 过 程 。 


























到 所 明文 发 送 端 | 接收 中 
ee 
1 a 
KEY2 —~|HMAC-SHA-1 |! KEY2 一 =| HMAC-SHA-1 > 
不 相等 ， 完 整 
数据 明文 | MAC 数据 明文 | MAC 性 检测 失败 





图 7.30 AH 安全 传输 过 程 


当然 ,对 于 基于 ESP 的 IPSec 安全 关联 ,也 可 以 选择 只 保障 数据 传输 过 程 中 的 保密 
性 或 完整 性 。 只 保障 保密 性 时 ,双方 只 需 约定 加 密 算法 和 加 密 密 钥 ; 只 保障 完整 性 时 , 双 
方 只 需 约定 MAC 算法 和 MAC 密 钥 。 

4. 传输 模式 和 隧道 模式 

(1) 传输 模式 

传输 模式 用 于 保证 数据 端 到 端 安 全 传输 ,并 对 数据 源 端 进行 鉴别 。 这 种 模式 下 ， 
IPSec 所 保护 的 数据 就 是 作为 IP 分 组 净 荷 的 上 层 协 议 数据 ,如 TCP .UDP 报 文 和 其 他 基 
于 IP 的 上 层 协议 报 文 。 安 全 关联 建立 在 数据 源 端 和 目的 端 之 间 , 如 图 7. 31 所 示 。 











安全 关联 
r > 
加 网 络 时 
= 
源 端 目的 端 
图 7.31 传输 模式 


(2) 隧道 模式 

隧道 模式 如 图 7. 32 所 示 ,安全 关联 的 两 端 是 隧道 的 两 端 。 这 种 模式 下 ,连接 源 端 和 
目的 端的 内 部 网 络 被 一 个 公共 网 络 分 隔 , 由 于 内 部 网 络 使 用 本 地 IP 地 址 ,而 公共 网 络 只 
能 路 由 以 全 球 IP 地 址 为 目的 IP 地 址 的 IP 分 组 ,因此 ,直接 以 源 端 IP 地 址 为 源 IP 地 址 、 
目的 端 IP 地 址 为 目的 IP 地 址 的 IP 分 组 不 能 由 公共 网 络 正确 地 从 隧道 终结 点 1 路 由 到 
隧道 终结 点 2。 隧 道 终结 点 1 为 了 将 源 端 至 目的 端的 IP 分 组 经 过 公共 网 络 传输 给 隧道 
终结 点 2, 将 源 端 至 目的 端的 IP 分 组 作为 净 荷 封装 在 以 隧道 终结 点 1 的 全 球 IP 地 址 为 源 
IP 地 址 ,隧道 终结 点 2 的 全 球 IP 地 址 为 目的 IP 地 址 的 IP 分 组 中 ,这 种 将 整个 IP 分 组 作 
为 另 一 个 IP 分 组 的 净 荷 的 封装 方式 就 是 隧道 格式 ,这 种 情况 下 ,安全 关联 的 两 端 就 是 隧 












































安全 关联 
! > 
国 ) 
时 -Ce 和 目 wo 生生 -Ce 呈 
j Ne 目的 让 
源 端 隧道 终结 点 1 隧道 终结 点 2 


7.32 隧道 模式 
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道 的 两 端 ,对 于 源 端 至 目的 端 传输 方向 ,安全 关联 的 发 送 端 是 隧道 终结 点 1 ,接收 端 是 隧 
道 终结 点 2。 


723 Windows 7 连接 安全 规则 配置 过 程 


1. 配置 环境 
配置 环境 如 图 7. 33 所 示 , 终 端 A、 终 端 B 和 终端 C 位 于 同一 个 基本 服务 集 (Basic 
Service Set,BSS) ,配置 网 络 地 址 相同 的 IP 地 址 ,因此 可 以 相互 通信 。 


让 终端 C \ 

/ 192.168.1.1 \ 
1 4 
加 局 
\ 人 
1 
和 / 

终端 A 终端 B 2 

~、、192.168.1.107 192.168.1.106 一 
SS BSS We 
图 7.33 ”网络 环境 


启动 终端 A 和 终端 B 的 安全 传输 功能 ,为 终端 A 和 终端 B 配置 相同 的 共享 密 钥 
GKEY ,选择 相同 的 安全 协议 .加密 算法 `MAC 算法 和 密 钥 同 步 算法 。 终端 A 与 终端 B 
只 与 成 功 建立 安全 关联 的 另 一 端 相互 通信 。 因 此 ,如 图 7. 33 所 示 的 BSS 中 ,在 启动 终端 
A 和 终端 了 的 安全 传输 功能 后 ,只 允许 终端 A 和 终端 B 之 间 相 互通 信 , 通 信 过 程 中 按照 
配置 要 求实 现 安全 传输 功能 。 

2. 开放 ICMP ECHO 响应 功能 

完成 “开始 ”>“ 控 制 面板 ”>“ 系 统 和 安全 ”>“Windows 防火 墙 ”一 “高 级 设置 ">“ 入 
站 规则 ”操作 过 程 ,弹出 如 图 7. 34 所 示 的 入 站 规则 配置 界面 。 为 了 能 够 响应 ICMP 
ECHO 请 求 报 文 ,开启 人 站 规则 “文件 和 打印 机 共享 ( 回 显 请 求 -ICMPv4-In)”, 人 允许 ICMP 
ECHO 请 求 报 文 进 入 计算 机 。 如 果 不 知道 终端 所 处 的 网 络 位 置 , 则 同时 开启 针对 域 . 专 
用 和 公用 网 络 的 入 站 规则 。 同 时 开启 针对 域 . 专 用 和 公用 网 络 的 入 站 规则 “文件 和 打印 机 
共享 ( 回 显 请 求 -ICMPv4-In)” 后 的 入 站 规则 配置 界面 如 图 7. 35 所 示 。 

3. 检测 终端 之 间 的 连通 性 

开启 终端 B 和 终端 C 允许 ICMP ECHO 请 求 报 文 进入 的 入 站 规则 后 ,终端 A 可 以 
与 终端 B 和 终端 C 连通 。 如 图 7. 36 所 示 是 终端 A 通过 ping 命令 测试 与 终端 B 和 终端 
C 之 间 连 通 性 的 界面 。 

4. 创建 新 规则 

完成 终端 A“ 开 始 ”>“ 控 制 面板 ”>“ 系 统 和 安全 ”>“Windows 防火 墙 * 一 “高 级 设 
置 ?操作 过 程 ,在 弹出 的 高 级 安全 Windows 防火 墙 配置 界面 中 ,通过 单 击 “ 连 接 安全 规则 ” 
选中 连接 安全 规则 选项 并 右 击 ,弹出 如 图 7. 37 所 示 的 连接 安全 规则 配置 菜单 , 单 击 “ 新 建 
规则 ”选项 ,弹出 如 图 7. 38 所 示 的 规则 类 型 配置 界面 。 

隔离 : 该 类 型 表示 只 与 通过 身份 鉴别 .成 功 建立 安全 关联 的 计算 机 通信 。 
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7.35 开启 允许 ICMP ECHO 请 求 报 文 进入 的 入 站 规则 


免除 身份 验证 : 该 类 型 用 于 指定 免除 身份 鉴别 的 计算 机 。 
服务 器 到 服务 器 : 该 类 型 用 于 指定 需要 建立 安全 关联 的 两 台 特定 服务 器 。 
隔离 和 服务 器 到 服务 器 类 型 属于 传输 模式 。 

隧道 : 该 类 型 用 于 实现 隧道 模式 。 

自 定义 : 该 类 型 用 于 实现 用 户 自 定义 的 连接 安全 规则 。 
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7.36 终端 A 测试 与 终端 B 和 终端 C 之 间 连 通 性 
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7.37 连接 安全 规则 配置 菜单 


选中 “隔离 ”, 单 击 “ 下 一 步 ” 按 钮 ,弹出 如 图 7. 39 所 示 的 规则 要 求 配置 界面 ,选中 “入 
站 和 出 站 连接 要 求 身份 验证 ”, 单 击 “ 下 一 步 ” 按 钮 ,弹出 如 图 7. 40 所 示 的 身份 验证 方法 配 
置 界 面 。 由 于 方法 列表 中 没有 本 例 采 用 的 基于 共享 密 钥 的 身份 鉴别 方法 ,因此 选中 “高 
级 ”, 单 击 “ 下 一 步 ?按钮 ,弹出 如 图 7. 41 所 示 的 自 定义 高 级 身份 验证 方法 配置 界面 , 单 击 
第 一 身份 验证 方法 添加 框 下 的 “添加 ”按钮 ,弹出 如 图 7. 42 所 示 的 第 一 身份 验证 方法 选择 
界面 ,选中 * 预 共享 密 钥 ”身份 验证 方法 ,在 预 共享 密 钥 输入 框 中 输入 共享 密 钥 
1234567890。 单 击 “ 确 定 ” 按 钮 ,弹出 如 图 7. 43 所 示 的 完成 身份 验证 方法 选择 后 的 自 定义 
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您 要 人 健 的 连接 安全 规 R} 类 型 


司 隔 高 CD 
限制 基于 身份 验证 条 件 的 连接 ， 如 域 成 员 身份 或 健康 杖 态 。 


中 免除 身份 验证 CA) 
来 自 特定 计算 机 的 连接 不 进行 身份 验证 。 


站 服务 器 到 服务 器 (5) 
对 指定 计算 机 之 间 的 连接 进行 身份 验证 。 


口 插 省 0) 
对 内 关 计算 机 之 间 的 连接 进行 身份 验证 * 
日 自 定义 C) 
自 定义 规则 


的 时 间 和 方式 ， 但 这 些 规 则 不 允许 连接 。 若 要 
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图 7.38 规则 类 型 配置 
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指定 此 规 风 天 配 的 连接 的 身份 验证 要 求 。 


进行 身份 验证 的 时 间 


局 入 站 和 出 让 连接 请 求 身份 验证 B) 
可 能 8 进行 身份 验证 ， 但 是 不 要 求 。 


日 入 让 连接 要 求 身份 验证 ， 出 站 连接 请 求 身份 验证 ) 
入 站 这 接 必须 通过 身份 办 证 才能 允许 。 出 站 8 可 能 进行 身份 验证 ， 但 是 不 要 求 。 


司 入 站 和 出 让 连接 要 求 身份 验证 (Q) 











《上 = 步 四 了 消 























图 7.39 规则 要 求 配置 
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步 委 : 
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提要 求 全 野 认 值 D) 
.身份 只 汪 方 法 使 用 IFses 设置 中 指定 的 身份 办 证 方法 * 
外 配置 文件 日 计算 机 和 用 户 (Kerberes Y5) (C) 
只 人 。 为 在 入 站 和 出 站 规则 中 向 特定 用 
和 2 称 |. 
司 计算 机 Kerberos Y5) (0) 
[ese "和 近 浊 和 信 。 为 在 入 站 本 可 则 中 向 特定 计算 
加 高 级 0) 
描 罕 自 定义 第 一 和 第 二 身份 洽 证 设置 。 BE 
了 益 身 从 8 证 方法 89 详 纪 信息 
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图 7.40 身份 验证 方法 配置 
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7.41 自 定义 高 级 身份 验证 方法 配置 


高 级 身份 验证 方法 配置 界面 。 单 击 “确定 ”按钮 ,弹出 如 图 7. 44 所 示 的 配置 文件 配置 界 
面 ,将 该 配置 文件 同时 作用 于 域 专 用 网 络 和 公用 网 络 , 单 击 “ 下 一 步 ”按钮 ,弹出 如 
图 7.45 所 示 的 名 称 配 置 界面 ,在 名 称 输入 框 中 输入 规则 名 称 ,在 描述 输入 框 中 可 以 输入 
对 该 规则 的 描述 。 单 击 “ 完 成 ”按钮 ,连接 安全 规则 列表 中 出 现 如 图 7. 46 所 示 的 名 称 为 
“内 网 ”的 规则 。 由 于 终结 点 2 的 地 址 为 任意 ,因此 ,该 终端 可 以 与 所 有 能 够 成 功 与 其 完成 
双向 身份 鉴别 过 程 的 其 他 终端 进行 通信 。 
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选择 用 于 第 一 身份 验证 的 赁 据 : 
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图 7.42 第 一 身份 验证 方法 选择 
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图 7.43 完成 身份 验证 方法 选择 后 的 界面 


5. 配置 规则 属性 

如 果 只 允许 与 属于 网 络 192. 168. 1. 0/24 且 与 其 完成 双向 身份 鉴别 过 程 的 其 他 终端 
进行 通信 , 则 可 以 通过 配置 名 称 为 “内 网 ?的 连接 安全 规则 属性 对 终结 点 2 的 范围 进行 限 
制 。 通 过 单 击 图 7. 46 中 名 称 为 “内 网 ”的 连接 安全 规则 ,弹出 如 图 7. 47 所 示 的 该 规则 操 
作 菜 单 , 单 击 * 属 性 ?选项 ,弹出 如 图 7. 48 所 示 的 规则 属性 配置 界面 。 单 击 * 计 算 机 ?选项 
卡 , 弹 出 如 图 7.49 所 示 的 终结 点 1 和 终结 点 2 的 范围 配置 界面 。 勾 选 终结 点 2* 下 列 IP 
地 址 ”, 单 击 “ 添 加 ”按钮 ,弹出 如 图 7. 50 所 示 的 配置 终结 点 2 子 网 地 址 或 IP 地 址 范围 的 
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图 7.44 配置 文件 配置 
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图 7.45 名 称 配 置 
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图 7.47 名 称 为 内 网 ”的 规则 操作 菜单 
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图 7.48 规则 属性 配置 
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图 7.49 终结 点 1 和 终结 点 2 的 范围 配置 


界面 ,在 子 网 地 址 输入 框 中 输入 用 于 限制 终结 点 2 范围 的 子 网 地 址 192. 168. 1. 0/24, 单 
击 “ 确 定 ” 按 钮 ,弹出 如 图 7. 51 所 示 的 为 终结 点 2 添加 的 子 网 地 址 , 单 击 “ 确 定 ” 按 钮 ,完成 
属性 配置 过 程 。 完 成 属性 配置 过 程 后 的 名 称 为 “内 网 ”的 连接 安全 规则 如 图 7. 52 所 示 , 终 
结 点 2 的 范围 限制 为 属于 网 络 192. 168. 1.0/24 的 终端 。 

6. 测试 安全 连接 

当 图 7. 33 中 的 终端 A 和 终端 B 均 完成 相同 的 连接 安全 规则 配置 过 程 后 ,终端 A 与 
终端 B 之 间 能 够 进行 安全 传输 过 程 ,但 终端 A 和 终端 C 之 间 由 于 无 法 完成 双向 身份 鉴别 
过 程 ,因此 无 法 相互 通信 。 图 7. 53 给 出 了 终端 A 分 别 ping 终端 B 和 终端 C 的 结果 。 终 
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端 A 与 终端 B 之 间 成 功 完 成 安全 传输 过 程 的 前 提 有 两 个 : 一 是 建立 终端 A 与 终端 B 之 
间 的 安全 传输 通道 (也 称 为 IKE 安全 关联 ) ;二 是 建立 终端 A 与 终端 B 之 间 的 IPSec 安全 
关联 。 如 图 7. 52 所 示 , 完 成 “监视 ”>“ 安 全 关联 ”>“ 主 模式 ”操作 过 程 ,弹出 如 图 7. 54 所 
示 的 终端 A 与 终端 B 之 间 建 立 的 安全 传输 通道 ,对 于 安全 传输 通道 ,双方 约定 的 身份 鉴 
别 方法 是 预 共 享 的 密 钥 、 加 密 算法 是 AES-CBC 128、 报 文摘 要 算法 是 SHA-1、 密 钥 同 步 算 
法 是 Diffie-Hellman Group 2。 如 图 7. 52 所 示 ,完成 “监视 ?一 “安全 关联 ?一 “快速 模式 ” 
操作 过 程 , 弹 出 如 图 7. 55 所 示 的 终端 A 与 终端 B 之 间 建 立 的 IPSec 安全 关联 的 界面 ,对 
于 IPSec 安全 关联 ,双方 约定 的 安全 协议 是 ESP.MAC 算法 是 SHA-1, 由 于 只 保障 数据 
完整 性 ,不 保障 数据 保密 性 ,因此 没有 采用 ESP 保障 数据 保密 性 的 功能 。 同 样 , 终 端 B 建 
立 的 安全 传输 通道 与 IPSec 安全 关联 分 别 如 图 7. 56 和 图 7. 57 所 示 。 
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图 7.50 终结 点 2 子 网 地 址 配置 
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图 7.51 为 终结 点 2 配置 的 子 网 地 址 
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7.52 ”完成 属性 配置 后 的 名 称 为 “内 网 ”的 连接 安全 规则 


92 .168 .1.196 














图 7.53 终端 A 分别 ping 终端 B 和 终端 C 的 结果 


7. IPSec 属性 配置 过 程 

无 论 是 建立 安全 传输 通道 时 约定 的 安全 机 制 , 还 是 建立 IPSec 安全 关联 时 约定 的 安 
全 机 制 ,都 是 可 以 设置 的 ,其 设置 过 程 如 下 。 

完成 “开始 ">" 控制 面板 ”>“ 系 统 和 安全 ”一 “Windows 防火 墙 " 习 “高 级 设置 "操作 
过 程 ,弹出 如 图 7. 58 所 示 的 高 级 安全 Windows 防火 墙 配置 界面 , 单 击 “Windows 防火 墙 
属性 ”选项 ,弹出 Windows 防火 墙 属性 配置 界面 , 单 击 “IPSec 设置 "选项 卡 ,弹出 如 
图 7. 59 所 示 的 IPSec 属性 设置 界面 , 单 击 IPSec 默认 值 的 “ 自 定 义 ” 按 钮 ,弹出 如 图 7. 60 
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图 7.54 终端 A 建 立 的 安全 传输 通道 
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7.55 终端 A 建立 的 IPSec 安全 关联 
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图 7.56 终端 B 建立 的 安全 传输 通道 




















7.57 终端 B 建立 的 IPSec 安全 关联 
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图 7.58 高 级 安全 Windows 防火 墙 配 置 
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图 7.59 IPSec 属性 配置 


所 示 的 IPSec 默认 值 设置 界面 , 匀 选 主 模式 的 高 级 选项 , 单 击 “* 自 定义 ?按钮 ,弹出 如 
图 7.61 所 示 的 主 模式 下 IPSec 默认 值 设置 的 界面 ,可 以 通过 单 击 “ 添 加 ”按钮 添加 安全 方 
法 ,如果 需要 改变 安全 方法 的 顺序 , 则 需要 单 击 选中 某 个 安全 方法 ,通过 单 击 安全 方法 框 
边 上 的 向 上 或 向 下 箭头 改变 该 安全 方法 的 顺序 。 单 击 * 确 定 ” 按 钮 完成 默认 值 配置 过 程 。 

色 选 快速 模式 的 高 级 选项 , 单 击 “ 自 定义 ”按钮 ,弹出 如 图 7. 62 所 示 的 快速 模式 下 
IPSec 默认 值 设置 的 界面 ,如 果 同 时 要 求实 现 保障 数据 完整 性 和 保密 性 的 功能 , 则 勾 选 
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图 7.60 IPSec 默认 值 设 置 
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安全 方法 
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7.61 主 模式 下 IPSec 默认 值 设置 


“要 求 使 用 这 些 设置 的 安全 连接 使 用 加 密 ” 选 项 。 同 样 ,可 以 单 击 “ 添 加 ”按钮 添加 数据 完 
整 性 算法 (没有 勾 选 “ 要 求 使 用 这 些 设置 的 安全 连接 使 用 加 密 ” 的 情况 ) 与 数据 完整 性 和 加 
密 算法 。 如 果 需 要 改变 这 些 算法 的 顺序 , 则 单 击 选中 某 个 算法 ,通过 单 击 算法 框 边 上 的 向 
上 或 向 下 箭头 改变 该 算法 的 顺序 。 单 击 “ 确 定 ? 按 钮 完成 默认 值 的 配置 过 程 。 


Ne/ 信息 安全 实用 教程 






























































站 1 
SEX wg ] 
am 
连接 安全 规则 使 用 教 据 保护 设置 保护 网 络 流 量 。 
加 要 求 使 用 这 些 设置 的 所 有 安全 连接 使 用 加 密 @@)* 
数据 寺 当 性 数据 寺 关 性 和 加 宙 
人 艇 品 入 防止 在 网 络 上 个 隐 数 据 并 保持 保 
性 和 法); 于 要 性 和 加 天 法 0; 
协议 完 刑 性 密 钼 生存 期 从 名 1) 协议 。 完 型 性 加 宣 到 和 生存 期 ( 
SP SHA-1 60/100, 000 ESP SHA-1 #ES-CEC 128 80/100,000 
A SHA-1 80/100, 000 ESF SHA-1 30Es 60/100, 000 
| el 
区 图 
二 [编辑 二 ] [出 作 o 
CC 这 [a ] 








图 7.62 快速 模式 下 IPSec 的 默认 值 设置 


根据 图 7. 61 所 示 的 主 模式 下 的 默认 值 ,确定 完整 性 算法 是 SHA-1、 加 密 算法 是 
AES-CBC 128、 密 钥 交 换算 法 是 Diffie-Hellman Group 2, 与 终端 A 和 终端 B 主 模式 下 双 
方 约定 的 安全 机 制 相同 。 根 据 图 7. 62 所 示 的 快速 模式 下 的 默认 值 ,确定 安全 协议 是 
ESP .完整 性 算法 是 SHA-1, 与 终端 A 和 终端 B 快 速 模 式 下 双方 约定 的 安全 机 制 相同 。 


7.3 ”Windows 7 网 络 管理 和 监测 命令 


Windows 7 提供 了 一 系列 用 于 检测 网 络 状 态 ,监控 计算 机 与 其 他 主机 之 间 会 话 的 命 
令 , 用 户 可 以 通过 这 些 命令 发 现 , 诊 断 网 络 连接 问题 ,发 现 和 处 理 外 部 终端 为 非法 访问 计 
算 机 资源 而 创建 的 会 话 。 
73.1 ping 命 令 

1. 工作 原理 

ping 命令 用 于 检测 两 个 终端 之 间 的 连通 性 ,如 果 终 端 A 执行 命令 : ping 201. 1. 3. 7， 
如 图 7. 63 所 示 ,终端 A 将 ICMP ECHO 请 求 报 文 封装 成 以 终端 A 的 IP 地 址 192.1.1.1 
为 源 IP 地址、 以 终端 B 的 IP 地 址 201.1.3.7 为 目的 IP 地址 的 IP 分 组 ,并 以 序号 和 标识 
符 唯一 标识 该 ICMP ECHO 请 求 报 文 。 当 终端 B 接收 到 该 全 分 组 时 ,生成 对 应 的 ICMP 
ECHO 响应 报 文 ,响应 报 文中 的 序号 和 标识 符 与 请 求 报 文 中 的 序号 和 标识 符 相 同 。 该 
ICMP ECHO 响应 报 文 封装 成 以 终端 B 的 IP 地址 201.1.3.7 为 源 IP 地 址 以 终端 A 的 
IP 地 址 192.1.1.1 为 目的 IP 地址 的 IP 分 组 .如果 终端 A 接收 到 封装 ICMP ECHO 响 
应 报 文 的 IP 分 组 , 且 响 应 报 文中 的 序号 和 标识 符 与 其 发 送 的 请 求 报 文中 的 序号 和 标识 符 
相同 , 则 表明 终端 A 与 终端 B 之 间 连 通 。 
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192.1.1.1 201.1.3.7 


7.63 ICMP ECHO 请 求 ,响应 过 程 


2. 命令 一 般 格式 

ping 目标 主机 地 址 或 域名 

可 以 携带 以 下 参数 。 

t: 一 直 进行 如 图 7. 63 所 示 的 ICMP ECHO 请 求 ,响应 过 程 , 直 到 按 下 Ctrl 十 C 键 。 

n count: 将 如 图 7. 63 所 示 的 ICMP ECHO 请 求 、. 响 应 过 程 进行 整数 count 指定 的 
次 数 。 

1 length: 发 送 长 度 由 整数 length 指定 的 ICMP ECHO 请 求 报 文 ,长 度 默认 值 
是 32B。 

ittl; 将 封装 ICMP ECHO 请 求 报 文 的 IP 分 组 的 生存 时 间 (Time To Live,TTL) 字 
眉 值 设置 为 由 整数 ttl 指定 的 值 。 

3. 命令 使 用 实例 

ping 命令 使 用 实例 如 图 7. 64 所 示 , 第 一 条 ping 命令 中 的 参数 “-n 2 表明 将 如 
图 7.63 所 示 的 ICMP ECHO 请 求 、 响 应 过 程 进行 两 次 ,因此 ,终端 接收 到 两 个 ICMP 
ECHO 响应 报 文 。 参 数 “-1 64” 表 明 将 ICMP ECHO 请 求 报 文 的 长 度 固定 为 64B。 














7.64 ping 命令 执行 结果 


第 二 条 ping 命令 中 的 参数 “-i 2” 将 封装 ICMP ECHO 请 求 报 文 的 IP 分 组 的 TTL 字 
段 值 设置 为 2。 由 于 每 经 过 一 跳 路 由 器 ,TTL 字段 值 减 1, 当 TTL 字段 值 减 为 0 时 ,路 由 
器 发 送 超时 差错 报告 报 文 。 因 此 ,如 果 终 端 与 百度 服务 器 之 间 的 路 由 器 跳 数 大 于 1, 则 封 
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装 ICMP ECHO 请 求 报 文 的 IP 分 组 在 没有 到 达 百 度 服务 器 之 前 ,TTL 字段 值 已 经 减 为 
0, 这 是 如 图 7. 64 所 示 的 第 二 条 ping 命令 在 执行 过 程 中 报错 的 原因 。 

4. 安全 问题 

黑客 常常 通过 ping 命令 进行 主机 扫描 ,以 确定 攻击 目标 是 否 在 线 , 以 及 黑客 终端 与 
攻击 目标 之 间 是 否 存 在 传输 通路 。 因 此 ,为 安全 起 见 ,终端 最 好 通过 设置 防火 墙 关闭 
ICMP ECHO 响应 功能 。 这 种 情况 下 ,终端 防火 墙 的 入 站 规则 将 禁止 ICMP ECHO 请 求 
报 文 进入 终端 。 


732 tracert 命令 


1. 工作 原理 

tracert 命令 用 于 给 出 源 终端 至 目的 终端 完整 的 IP 传输 路 径 ,完整 的 IP 传输 路 径 包 
括 目 的 终端 和 源 终 端 至 目的 终端 传输 路 径 所 经 历 的 全 部 路 由 器 。 如 果 需 要 给 出 如 
图 7.65 所 示 的 终端 A 至 终端 也 的 完整 的 IP 传输 路 径 , 则 需要 终端 A 启动 命令 : tracert 
192.1. 4.1, 其 中 192. 1.4.1 是 终端 B 的 IP 地址 。 


























回 送 响应 (ICMP ECHO 响 应 ) 
图 7.65 tracert 命令 执行 过 程 


终端 A 终端 B 
192.1.1.1/24 192.1.4.1/24 
192.1.1.254 "省 1.4.254 

器。 12242423424 GD 1.2.254/24 BS* 1.3.254/24 SS” 1.4.254/24 

192.1.2.253/24 192.1.3.253/24 Eh 

回 送 请 求 | 时 
FQ 1 | 1 
| 超时 | | | 
| 回 送 请 求 1 | | 
= | 

1 

| 超时 1 1 1 
| 回 送 请 求 | | 
= - | 
| 超时 、、 1 1 
| 回 送 请 求 ((CMP ECHO 请 求 ) | 
da | 
| | 
上 1 


tracert 命令 执行 过 程 如 图 7. 65 所 示 。 终 端 A 首先 将 ICMP ECHO 请 求 报 文 封装 成 
以 终端 A 的 IP 地址 192.1.1.1 为 源 IP 地 址 ,终端 B 的 IP 地址 192.1.4.1 为 目的 IP 地 
址 .TTL=1 的 IP 分 组 ,该 IP 分 组 传输 到 第 一 跳 路 由 器 R1 时 ,TTL 值 减 为 0, 路 由 器 
R1 向 终端 A 发 送 一 个 超时 报 文 ,超时 报 文 封装 成 以 路 由 器 R1 接收 该 ICMP ECHO 请 求 
报 文 的 接口 的 IP 地 址 为 源 IP 地 址 \、 以 终端 A 的 IP 地 址 为 目的 IP 地 址 的 IP 分 组 。 终 端 
A 接收 到 超时 报 文 后 ,获取 第 一 跳 路 由 器 R1 的 IP 地 址 。 

终端 A 随后 将 ICMP ECHO 请 求 报 文 封装 成 以 终端 A 的 IP 地 址 192. 1.1. 1 为 源 
IP 地 址 ,终端 B 的 全 地 址 192.1.4.1 为 目的 全 地 址 .TTL=2 的 全 分 组 , 该 全 分 组 到 
达 第 二 跳 路 由 器 R2 时 ,TTL 值 减 为 0, 第 二 跳 路 由 器 R2 向 终端 A 发 送 超时 报 文 ,终端 
A 因此 获得 路 由 器 R2 的 IP 地 址 。 

该 过 程 一 直 进行 ,直到 封装 ICMP ECHO 请 求 报 文 的 IP 分 组 到 达 终 端 B, 终 端 B 向 
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终端 A 发 送 ICMP ECHO 响应 报 文 。 一 旦 终端 A 接收 到 终端 B 发 送 的 ICMP ECHO 响 
应 报 文 , 则 完成 tracert 命令 执行 过 程 。 

2. 命令 一 般 格式 

tracert 目标 主机 地 址 或 域名 


可 以 携带 以 下 参数 。 

d: 只 列 出 经 过 的 路 由 器 接口 和 目标 主机 的 IP 地 址 ,不 给 出 这 些 路 由 器 和 目标 主机 
的 名 字 。 

h maximum_hops: 指定 经 过 的 最 大 跳 数 ,整数 maximum_hops 是 最 大 跳 数 。 

j host-list: 通过 指定 经 过 的 路 由 器 接口 列表 ,指定 源 终端 至 目的 终端 的 传输 路 径 。 

3. 命令 使 用 实例 

tracert 命令 使 用 实例 如 图 7. 66 所 示 ,第 一 条 tracert 命令 列 出 除 第 2 跳 路 由 器 以 外 ， 
终端 至 百度 服务 器 之 间 传 输 路 径 经 过 的 所 有 路 由 器 和 百度 服务 器 的 IP 地 址 ,第 2 跳 路 由 
器 不 能 给 出 IP 地 址 。 

















图 7. 66 tracert 命令 执行 结果 


第 二 条 tracert ih 的 参数 “-d” 使 得 tracert 命令 只 能 列 出 IP 地 址 ,不 再 列 出 主机 
名 或 路 由 器 名 。 参 数 “-h 2” 使 得 tracert 命令 只 能 列 出 终端 至 百度 服务 器 之 间 传 输 路 径 
经 过 的 前 2 跳 路 由 器 。 

4. 安全 问题 

黑客 常常 用 tracert 命令 了 解 黑客 终端 与 攻击 目标 之 间 的 传输 路 径 , 了 解 攻击 目标 所 
连接 的 网 络 的 拓扑 结构 。 因 此 ,与 执行 tracert 命令 相关 的 TTL 字段 值 不 断 递增 的 
ICMP ECHO 请 求 报 文 也 是 网 络 人 侵 检测 系统 需要 监测 的 信息 流 类 型 ,如 果 互 联网 中 与 
执行 tracert 命令 相关 的 TTL 字段 值 不 断 递增 的 ICMP ECHO 请 求 报 文 的 数量 超过 阅 
值 , 则 表明 黑客 正在 了 解 该 互联 网 的 网 络 拓 扑 结 构 。 
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733 ipconfig 命令 

1. 命令 功能 

终端 上 网 前 需要 完成 基本 配置 ,基本 配置 信息 包括 IP 地 址 、 子 网 掩 码 、 默 认 网 关 地 
址 本 地 域名 服务 器 地 址 等 。 终 端 安装 的 以 太 网 卡 和 无 线 网 卡 有 着 唯一 的 MAC 地 址 。 
ipconfig 命令 的 主要 功能 是 查看 终端 的 基本 配置 信息 和 网 卡 的 MAC 地 址 。 

2. 命令 一 般 格式 

ipconf ig 

可 以 携带 以 下 参数 。 

/all: 显示 完整 信息 。 

/renew: 为 所 有 网 卡 重新 动态 分 配 IP 地 址 。 

/release: 释放 为 所 有 网 卡 分 配 的 动态 IP 地 址 。 

/flushdns: 清空 本 地 DNS 缓冲 区 。 

/displaydns: 显示 本 地 DNS 缓冲 区 内 容 。 

3. 命令 使 用 实例 

终端 执行 命令 ipconfig /all 的 结果 如 图 7. 67 所 示 ,安装 无 线 网 卡 后 , Windows 7 生 
成 两 个 无 线 网 络 连 接 , 分 别 是 无 线 网 络 连接 和 无 线 网 络 连接 2。 无 线 网 络 连接 用 于 将 终 
端 连接 到 无 线路 由 器 和 AP 等 无 线 连 接 设备 上 。 无 线 网 络 连接 2 使 得 终端 可 以 成 为 Wi-Fi 
热点 ,创建 hostednetwork 后 ,可 以 用 无 线 网 络 连接 2 连接 家 庭 局 域 网 中 的 其 他 无 线 
终端 。 

如 图 7. 67 所 示 , 由 于 没有 创建 hostednetwork, 因 此 无 线 网 络 连 接 2 没有 启用 。 终 端 
通过 无 线 网 络 连 接 到 无 线路 由 器 后 ,无 线路 由 器 为 终端 分 配 的 IP 地 址 和 子 网 掩 码 分 别 是 
192.168. 1.105 和 255. 255.255. 0, 分 配 的 默认 网 关 地 址 是 无 线路 由 器 LAN 接口 的 IP 
地 址 192. 168. 1. 1。 分 配 的 两 个 域名 服务 器 地 址 分 别 是 58. 240. 57. 33 和 221. 6. 4. 66。 
终端 无 线 网 卡 的 MAC 地 址 是 00-1E-64-5B-2A-AE。 


734 arp 命令 


1. 命令 功能 

当 终端 A 和 终端 B 连接 在 同一 个 以 太 网 时 ,终端 A 只 有 在 获取 终端 B 的 MAC 地 址 
后 ,才能 向 终端 B 发 送 MAC 帧 。 如 果 终 端 A 只 有 终端 B 的 IP 地址 , 则 终端 A 需要 通过 
地 址 解析 过 程 获取 终端 B 的 MAC 地 址 。 地 址 解析 过 程 如 图 7. 68 所 示 ,终端 A 在 以 太 网 
中 广播 地 址 解析 协议 (Address Resolution Protocol,ARP) 请 求 报 文 ,ARP 请 求 报 文中 给 
出 终端 A 的 全 地 址 .MAC 地 址 和 终端 B 的 IP 地 址 。 终端 B 接收 到 终端 A 的 ARP 请求 
报 文 后 ,将 终端 A 的 IP 地址 和 MAC 地址 记录 在 ARP 缓冲 区 中 ,同时 通过 ARP 响应 报 
文 向 终端 A 发 送 自己 的 了 了 地 址 和 MAC 地 址 。 终端 A 接收 到 终端 B 发送 的 ARP 响应 
报 文 后 ,将 终端 了 的 IP 地 址 和 MAC 地 址 记录 在 ARP 缓冲 区 中 。arp 命令 的 作用 就 是 用 
于 管理 终端 的 ARP 缓冲 区 。 
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了 


r>ipconfig 


28188624ZUIN 


Microsoft Virtual WiPi Miniport hdapter 
: 98-1E-6 


0 
|: 
DHCP 


:bh5d1 :68ea:hbi13x11( 

1B 92 工 -185 ) 
12:80:46 
14:98:46 

DHCP 

DHCPu6 IAID 


DHCPu6 DUID 66-91-88-81-19-EA-D4-F3-C8-8A-A9-7C-9B-68| 














图 7.67 ipconfig 命令 执行 结果 


DARP 请 求 报 文 





B 的 ARP 缓 冲 区 


IP 地 址 MAC 地 址 
192.1.1.1 MAC A 


团 终 端 A 的 ARP 缓 冲 区 


IP 地 址 MAC 地 址 
192.1.1.2 MACB 

















LR 

























BARP 响 应 报 文 






MACB 
图 7.68 地 址 解析 过 程 


2. 命令 一 般 格式 

arp 

需要 携带 以 下 参数 之 一 。 

a: 显示 本 地 ARP 缓冲 区 内 容 。 

d: 删除 本 地 ARP 缓冲 区 内 容 。 

在 本 地 ARP 缓冲 区 中 建立 IP 地 址 与 MAC 地 址 之 间 的 静态 绑 定 关系 。 
参数 为 -s 的 命令 格式 如 下 : 

arp -s ip 地 址 mac 地 址 
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3. 命令 使 用 实例 

命令 使 用 实例 如 图 7. 69 所 示 。 第 一 条 命令 arp -a 用 于 显示 本 地 ARP 缓冲 区 内 容 ， 
类 型 为 动态 的 IP 地 址 与 MAC 地 址 之 间 的 绑 定 关系 是 通过 如 图 7. 68 所 示 的 地 址 解析 过 
程 获得 的 ,这 种 绑 定 关系 是 有 时 间 性 的 。 类 型 为 静态 的 IP 地 址 与 MAC 地 址 之 间 的 绑 定 
关系 是 永久 存在 的 。 




















图 7.69 arp 命令 执行 结果 


第 二 条 命令 arp -s 192. 1. 1. 1 28-29-30-31-32-33 用 于 建立 IP 地 址 192. 1. 1. 1 与 
MAC 地 址 28-29-30-31-32-33 之 间 的 静态 绑 定 关系 。 因 此 , 当 再 次 用 命令 arp -a 显示 本 
地 ARP 缓冲 区 的 内 容 时 ,本 地 ARP 缓冲 区 中 增加 了 类 型 为 静态 的 IP 地 址 192. 1. 1. 1 与 
MAC 地 址 28-29-30-31-32-33 之 间 的 静态 绑 定 关系 。 

4. 安全 问题 

ARP 欺骗 攻击 的 目的 是 在 终端 的 ARP 缓冲 区 中 建立 错误 的 IP 地 址 与 MAC 地 址 
之 间 的 动态 绑 定 关 系 。 因 此 ,如 果 重 要 服务 器 的 IP 地 址 是 相对 固定 的 , 则 终端 最 好 在 
ARP 缓冲 区 中 建立 服务 器 IP 地 址 与 服务 器 MAC 地 址 之 间 的 静态 绑 定 关系 。 同 时 ,为 
了 减轻 ARP 欺骗 攻击 造成 的 危害 ,需要 不 时 清除 ARP 缓冲 区 中 的 动态 绑 定 关 系 。 

735 nslookup 命令 

1. 命令 功能 

命令 nslookup 用 于 将 域名 解析 成 IP 地 址 ,解析 域名 过 程 中 可 以 指定 本 地 域名 服务 
器 。 因 此 , 当 终 端 配置 的 本 地 域名 服务 器 存在 问题 时 ,可 以 通过 指定 其 他 域名 服务 器 为 本 
地 域名 服务 器 来 发 现 域名 系统 存在 的 问题 。 


2. 命令 一 般 格式 
nslookup -qt 类 型 目标 域名 指定 的 DNS 服务 器 的 IP 地址 或 域名 


类 型 有 以 下 选项 。 
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3. 命令 使 用 实例 

命令 使 用 实例 如 图 7. 69 所 示 。 第 一 条 命令 arp -a 用 于 显示 本 地 ARP 缓冲 区 内 容 ， 
类 型 为 动态 的 IP 地 址 与 MAC 地 址 之 间 的 绑 定 关系 是 通过 如 图 7. 68 所 示 的 地 址 解析 过 
程 获得 的 ,这 种 绑 定 关系 是 有 时 间 性 的 。 类 型 为 静态 的 IP 地 址 与 MAC 地 址 之 间 的 绑 定 
关系 是 永久 存在 的 。 




















图 7.69 arp 命令 执行 结果 


第 二 条 命令 arp -s 192. 1. 1. 1 28-29-30-31-32-33 用 于 建立 IP 地 址 192. 1. 1. 1 与 
MAC 地 址 28-29-30-31-32-33 之 间 的 静态 绑 定 关系 。 因 此 , 当 再 次 用 命令 arp -a 显示 本 
地 ARP 缓冲 区 的 内 容 时 ,本 地 ARP 缓冲 区 中 增加 了 类 型 为 静态 的 IP 地 址 192. 1. 1. 1 与 
MAC 地 址 28-29-30-31-32-33 之 间 的 静态 绑 定 关系 。 

4. 安全 问题 

ARP 欺骗 攻击 的 目的 是 在 终端 的 ARP 缓冲 区 中 建立 错误 的 IP 地 址 与 MAC 地 址 
之 间 的 动态 绑 定 关 系 。 因 此 ,如 果 重 要 服务 器 的 IP 地 址 是 相对 固定 的 , 则 终端 最 好 在 
ARP 缓冲 区 中 建立 服务 器 IP 地 址 与 服务 器 MAC 地 址 之 间 的 静态 绑 定 关系 。 同 时 ,为 
了 减轻 ARP 欺骗 攻击 造成 的 危害 ,需要 不 时 清除 ARP 缓冲 区 中 的 动态 绑 定 关 系 。 

735 nslookup 命令 

1. 命令 功能 

命令 nslookup 用 于 将 域名 解析 成 IP 地 址 ,解析 域名 过 程 中 可 以 指定 本 地 域名 服务 
器 。 因 此 , 当 终 端 配置 的 本 地 域名 服务 器 存在 问题 时 ,可 以 通过 指定 其 他 域名 服务 器 为 本 
地 域名 服务 器 来 发 现 域名 系统 存在 的 问题 。 


2. 命令 一 般 格式 
nslookup -qt 类 型 目标 域名 指定 的 DNS 服务 器 的 IP 地址 或 域名 


类 型 有 以 下 选项 。 
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A: 解析 结果 是 目标 域名 对 应 的 主机 IP 地 址 。 

CNAME: 解析 结果 是 目标 域名 对 应 的 别名 。 

MX: 解析 结果 是 目标 域名 所 在 域 的 邮件 服务 器 。 

NS: 解析 结果 是 负责 目标 域名 所 在 域 的 域名 服务 器 。 

3. 命令 使 用 实例 

第 一 条 命令 的 执行 过 程 如 图 7. 70 所 示 。 命 令 nslookup -qt 二 a www. baidu. com 要 
求 域名 系统 解析 出 域名 www. baidu. com 的 IP 地 址 ,解析 过 程 从 终端 配置 的 本 地 域名 
务 器 开始 。 因 此 ,显示 的 服务 器 地 址 是 终端 配置 的 本 地 域名 服务 器 地 址 58. 240. 57. 33。 
域名 www. baidu. com 对 应 的 IP 地 址 有 两 个 ,分 别 是 112. 80. 248. 74 和 112. 80. 248. 73。 














7.70 nslookup 命令 执行 结果 (1) 


第 二 条 命令 的 执行 过 程 如 图 7.71 所 示 。 命 令 nslookup -qt 二 ns www. baidu. com 8. 
8. 8. 8 要 求 域名 系统 解析 出 负责 域名 www. baidu. com 所 在 域 的 域名 服务 器 。 解 析 过 程 
从 IP 地 址 为 8. 8. 8. 8 的 域名 服务 器 开始 。IP 地 址 为 8. 8. 8. 8 的 域名 服务 器 是 Google 的 
公共 域名 服务 器 。 域 名 www. baidu. com 所 在 域 是 a. shifen. com, 负 责 该 域 的 域名 服务 
是 nsl. a. shifen. com, 同 时 给 出 该 域名 服务 器 中 SOA 记录 的 信息 














7.71 ”nslookup 命令 执行 结果 (2) 
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4. 安全 问题 

实施 钓鱼 网 站 攻击 的 其 中 一 种 手段 是 使 域名 系统 不 能 正确 地 解析 域名 。 黑 客 完成 这 
一 过 程 通常 需要 改变 终端 配置 的 本 地 域名 服务 器 地 址 。 黑 客 通常 通过 以 下 两 种 方法 改变 
终端 配置 的 本 地 域名 服务 器 地 址 : 一 是 通过 DHCP 欺骗 攻击 使 终端 从 伪造 的 DHCP 服 
务 器 中 获得 错误 的 本 地 域名 服务 器 地 址 ;二 是 通过 入 侵 终 端 ,修改 原本 正确 的 本 地 域名 服 
务 器 地 址 。 由 于 用 户 通过 命令 nslookup 解析 域名 时 可 以 将 某 个 著名 域名 服务 器 指定 为 
本 地 域名 服务 器 ,因此 ,可 以 通过 比较 解析 结果 判断 终端 配置 的 本 地 域名 服务 器 地 址 是 否 
正确 。 





736 route 命令 


1. 命令 功能 

命令 route 用 于 管理 终端 路 由 项 。 一 般 情况 下 ,只 对 终端 配置 默认 网 关 地 址 ,终端 首 
先 将 目的 终端 是 其 他 网 络 中 终端 的 IP 分 组 发 送 给 默认 网 关 。 但 对 于 如 图 7. 72 所 示 的 网 
络 结构 ,如 果 只 为 终端 A 设置 默认 网 关 地 址 , 则 会 降低 网 络 的 传输 效率 。 当 终端 A 配置 
的 默认 网 关 地 址 是 192. 168. 1. 1 时 ,如 果 终 端 A 向 网 络 192. 168. 2. 0/24 传输 IP 分 组 ， 
传输 路 径 是 : 终端 A->R2-~R1-~192.168.2.0/24。 反 之 , 当 终端 A 配 置 的 默认 网 关 地 址 
是 192. 168. 1.2 时 ,如 果 终 端 A 向 网 络 192. 168. 3. 0/24 传输 IP 分 组 , 则 传输 路 径 是 ; 终 
端 A 一 Rl 一 R2192. 168. 3. 0/24。 






192.168.1.2 192.168.1.1 





192.168.1.0/24 





终端 A 
192.168.1.100 


图 7.72 网 络 结构 


合理 的 方法 是 分 别 为 终端 A 配置 两 项 路 由 项 ,该 两 项 路 由 项 表明 , 当 目 的 网 络 是 
192. 168. 2.0/24 时 ,下 一 跳 是 192. 168. 1. 2。 当 目的 网 络 是 192. 168. 3. 0/24 时 ,下 一 跳 
是 192. 168. 1. 1。 命 令 route 可 以 用 于 完成 上 述 路 由 项 的 配置 过 程 。 

2. 命令 一 般 格式 

(1) 显示 路 由 项 

route print 


route print -4 
route print -6 
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命令 route print 用 于 显示 终端 中 的 全 部 路 由 项 ,如 果 携 带 参数 -4, 则 只 显示 IPv4 路 
由 项 ,如 果 携 带 参 数 -6, 则 只 显示 IPv6 路 由 项 。 

(2) 增加 路 由 项 

route add 目的 网 络 mask 子 网 掩 码 默认 网 关 地 址 etrio (if 

该 命令 用 于 增加 一 项 路 由 项 ,其 中 距离 (metric) 和 输出 接口 (iD) 是 可 选 的。 如 果 需 要 
为 如 图 7.72 所 示 的 终端 A 配置 目的 网 络 分 别 是 192. 168. 1. 2. 0/24 和 192. 168. 3.0/24、 
下 一 跳 分 别 是 192. 168. 1.2 和 192.168. 1.1 的 两 项 路 由 项 , 则 配置 命令 如 下 。 

route add 192. 168. 2 0 mask 255. 255. 255. 0 192 168. 1.2 

route add 192. 168. 3.0 mask 255. 255. 255. 0 192.168.1.1 

终端 重新 启动 后 ,上 述 route 命令 配置 的 路 由 项 将 不 复 存 在 。 如 果 需 要 为 终端 配置 
永久 路 由 项 , 则 需要 增加 参数 -p。 以 下 命令 为 终端 配置 目的 网 络 是 192. 168. 2. 0/24 ,下 

- 跳 是 192. 168. 1. 2 的 永久 路 由 项 。 

route add - p 192. 168. 2 0 mask 255. 255. 255.0 192 168. 1.2 

(3) 删除 路 由 项 

route delete 目的 网 络 

该 命令 用 于 删除 一 项 路 由 项 。 删 除 目 的 网 络 为 192. 168. 2.0 的 路 由 项 的 命令 如 下 : 

route delete 192.168.2.0 

3. 命令 使 用 实例 

第 一 条 和 第 二 条 命令 的 执行 过 程 如 图 7. 73 所 示 ,为 终端 增加 两 项 路 由 项 ,这 两 项 路 
由 项 的 目的 网 络 分 别 是 192. 168. 2. 0/24 和 192. 168. 3.0/24, 下 一 跳 分 别 是 192. 168. 1. 2 
和 192.168.1.1。 其 中 目的 网 络 为 192. 168. 2.0/24 的 路 由 项 是 永久 路 由 项 。 








7.73 route 命令 执行 结果 (1) 


第 三 条 命令 的 执行 过 程 如 图 7.74 所 示 ,终端 路 由 项 中 包含 刚才 增加 的 两 条 路 由 项 ， 
其 中 一 项 是 永久 路 由 项 。 

第 四 条 和 第 五 条 命令 的 执行 过 程 如 图 7. 75 所 示 ,删除 刚才 增加 的 两 条 路 由 项 。 

4. 安全 问题 

如 果 终 端 有 着 多 条 通 往 其 他 网 络 的 传输 路 径 , 则 可 以 通过 指定 通 往 特定 目的 网 络 的 
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传输 路 径 避 开 可 能 存在 安全 隐患 的 路 由 器 和 不 可 靠 的 物理 链 路 。 











7.74 route 命令 执行 结果 (2) 

















7.75 route 命令 执行 结果 (3) 


737 netstat 命 令 


1. 命令 功能 

如 图 7.76 所 示 ,TCP 连接 分 为 三 个 阶段 , 即 连 接 建 立 阶段 .数据 传输 阶段 和 连接 释 
放 阶 段 。 每 一 个 阶段 ,客户 端 和 服务 器 端 都 存在 若干 状态 。 终 端 既 可 以 作为 客户 端 ,也 可 
以 作为 服务 器 端 ,命令 netstat 的 功能 就 是 监控 终端 在 每 一 个 TCP 连接 中 的 状态 。 

每 一 个 TCP 连接 都 用 两 端 插口 唯一 标识 ,终端 一 端的 插口 由 终端 的 IP 地 址 和 分 配 
给 该 TCP 连接 的 端口 号 组 成 。 远 端的 插口 可 以 由 远 端 的 IP 地 址 和 远 端 分 配给 该 TCP 
连接 的 端口 号 组 成 。 终 端 一 端 可 以 用 主机 名 取代 IP 地 址 , 远 端 一 端 可 以 用 域名 取代 IP 
地 址 。 

作为 服务 器 端 ,必须 先 启 动 服务 器 进程 ,等 待 客户 端 发 送 请 求 建立 TCP 连接 的 请 求 
消息 ,服务 器 进程 需要 事先 为 等 待 建立 的 TCP 连接 分 配 端 口号 ,服务 器 端 等 待 客户 端 发 
送 请 求 建立 TCP 连接 的 请 求 消息 时 的 状态 称 为 LISTEN ,为 等 待 建立 的 TCP 连接 分 配 
的 端口 号 称 为 侦 听 端口 号 。 
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客户 服务 器 
— SYN,SEQ=X 
a ~| LISTENING 
SYN,SEQ=Y,ACK(X+1) 
上 = SYN_RCVD 
ACK(Y+1) 
ESTABLISHED ~ ESTABLISHED 
消息 J 
_ 消息 
FIN,SEQ=U 
FIN_WAIT 1 | 
ACK(U+1) 
FIN_WAIT 2 ~ CLOSE_WAIT 
FIN,SEQ=V 
- Q LAST_ACK 
V 
TIME_WAIT ACKCD 一 | CLOSED 
CLOSED 
图 7.76 ”TCP 连接 及 状态 
2. 命令 一 般 格 式 
netstat 
可 以 携带 以 下 参数 。 


-a: 显示 所 有 连接 和 侦 听 端口 号 。 

-b: 显示 创建 每 个 连接 或 侦 听 端口 号 的 进程 号 或 组 件 名 。 

-e: 显示 以 太 网 统计 信息 。 

-{f: 显示 连接 另 一 端的 完全 合格 的 域名 。 

-n: 以 数字 形式 显示 IP 地 址 和 端口 号 。 

-0: 显示 与 每 个 连接 相关 的 进程 的 进程 ID。 

-Pp proto: 显示 用 协议 proto 建立 的 连接 。 

-r: 显示 路 由 表 。 

-s: 显示 按 协议 统计 的 信息 。 

3. 命令 使 用 实例 

命令 netstat -an 的 执行 结果 如 图 7.77 所 示 ,参数 -a 显示 所 有 连接 和 侦 听 端口 号 。 参 
数 -n 要 求 以 数字 形式 显示 IP 地 址 和 端口 号 。 协 议 一 列 给 出 与 连接 相关 的 传输 层 协议 ， 
可 以 是 TCP 或 UDP, 但 只 有 TCP 存在 状态 。 本 地 地 址 一 列 给 出 该 连接 的 本 地 插口 , 即 
本 地 IP 地 址 和 端口 号 。 外 部 地 址 一 列 给 出 该 连接 的 远 端 插口 , 即 远 端 的 IP 地 址 和 端口 
号 。 状 态 一 列 给 出 终端 针对 该 连接 的 状态 ,不 同 状 态 的 含义 如 图 7. 76 所 示 。 

命令 netstat -b 的 执行 结果 如 图 7.78 所 示 ,参数 -b 显示 创建 每 个 连接 或 侦 听 端口 号 
的 可 执行 组 件 名 称 , 如 [iexplore. exe]。 对 于 环 路 测试 地 址 127. 0. 0. 1 , 远 端 是 终端 本 身 ， 
因此 ,外 部 地 址 给 出 的 是 终端 主机 名 。 由 于 没有 用 参数 -n, 因 此 当 端 口号 是 应 用 层 协议 对 
应 的 著名 端口 号 时 ,用 该 应 用 层 协议 标识 ,如 http .https。 
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168.1.1985:49199 207.198.28:https ESTABLISHED 
[iexplore .exe] 
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4. 安全 问题 

黑客 非法 访问 终端 端 之 间 的 会 话 , 因 此 ,用 户 可 以 通过 显示 
所 有 该 终端 与 其 他 主机 之 间 的 会 话 , 判 断 是 否 存在 不 合理 的 该 终端 与 其 他 主机 之 间 的 会 
话 , 并 以 此 判断 该 终端 是 否 正在 遭受 黑客 或 病毒 的 攻击 


本 章 小 结 


。 计算 机 一 旦 连接 到 网 络 ,就 有 可 能 遭受 攻击 。 
。 防火 墙 是 一 种 既 能 保障 计算 机 与 网 络 之 间 的 正常 数据 交换 过 程 ,又 能 阻止 对 计算 
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机 有 害 的 数据 通过 网 络 进入 计算 机 的 安全 技术 。 


将 安装 在 计算 机 中 用 于 对 单 台 计 算 机 与 网 络 之 间 进 行 的 数据 交换 过 程 实施 控制 
的 防火 墙 称 为 个 人 防火 墙 。 

Windows 7 自 带 个 人 防火 墙 。 

Windows 7 个 人 防火 墙 通过 入 站 规则 控制 数据 通过 网 络 进 入 计算 机 的 过 程 。 
Windows 7 个 人 防火 墙 通过 出 站 规则 控制 数据 流出 计算 机 进入 网 络 的 过 程 。 
IPSec 是 实现 数据 安全 传输 的 安全 协议 。 

连接 安全 规则 是 Windows 7 利用 IPSec 实现 数据 安全 传输 的 机 制 。 

可 以 通过 监控 命令 监测 计算 机 中 已 经 建立 的 会 话 的 状态 。 

可 以 通过 监控 命令 监测 计算 机 连接 的 网 络 的 状态 。 

可 以 通过 监测 计算 机 发 现 可 能 遭受 的 攻击 。 


习 题 


简 述 防火 墙 的 作用 和 实现 原理 。 

Windows 7 个 人 防火 墙 能 够 实现 哪些 安全 功能 ? 

简 述 用 Windows 7 个 人 防火 墙 阻止 木马 病毒 泄露 私密 信息 的 原理 。 
简 述 用 Windows 7 个 人 防火 墙 阻止 蠕虫 病毒 入侵 计算 机 的 原理 。 
简 述 数据 安全 传输 的 三 个 要 求 。 

简 述 IPSec 实现 数据 安全 传输 的 原理 。 

7.7 给 出 实现 IP 地 址 分 别 为 11. 11. 11. 11 和 22. 22. 22. 22 的 两 台 服务 器 之 间 数 据 
安全 传输 过 程 的 连接 安全 规则 配置 过 程 。 要 求 IPSec 安全 关联 采用 的 安全 协议 是 ESP， 
加 密 算法 是 AES, 报 文摘 要 算法 是 SHA-1。 

7.8 如 何 检测 本 地 计算 机 与 某 台 服务 器 之 间 的 连通 性 ? 

7.9 如 何 检测 本 地 计算 机 与 某 台 服务 器 之 间 的 IP 分 组 传输 路 径 ? 

7.10 如 何 检测 本 地 计算 机 的 侦 听 端口 ? 

7.11 如 何 设置 本 地 计算 机 的 路 由 项 ? 

7.12 如 何 发 现 本 地 计算 机 已 经 被 域名 劫持 ? 

7.13 如 何 发 现 本 地 计算 机 正在 遭受 攻击 ? 
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无 论 是 程序 执行 过 程 还 是 用 户 操作 过 程 ,都 会 在 计算 机 系统 中 留 下 痕迹 ,这 些 痕迹 是 
分 析 程 序 执行 结果 和 用 户 操作 结果 的 主要 依据 。 安 全 审计 主要 分 为 两 个 方面 : 一 是 记录 
程序 执行 过 程 和 用 户 操作 过 程 ;二 是 通过 分 析 记 录 的 信息 发 现 对 计算 机 系统 实施 的 破坏 ， 
并 确定 破坏 源 。 审 核 策 略 、 审 核 日 志 、Prefetch 文件 夹 、 自 启动 项 列表 等 都 是 计算 机 系统 
用 于 记录 程序 执行 过 程 和 用 户 操作 过 程 的 主要 手段 。 


8.1 安全 审计 概述 


计算 机 系统 时 刻 面临 着 各 种 安全 威胁 ,消除 安全 威胁 的 前 提 是 能 够 发 现 安全 威胁 ,并 
能 跟踪 这 些 安全 威胁 破坏 计算 机 系统 的 过 程 。 安 全 审计 的 目的 就 是 通过 记录 操作 系统 和 
应 用 程序 的 执行 过 程 与 用 户 的 活动 过 程 ,发 现 计算 机 系统 中 可 能 存在 的 漏洞 .黑客 曾经 进 
行 过 的 入 侵 行为 和 用 户 实施 的 错误 操作 等 。 


8.1.1 计算 机 系统 面临 的 安全 威胁 


1. 尝试 登录 计算 机 系统 

非 授权 使 用 某 个 计算 机 系统 的 用 户 , 由 于 没有 该 计算 机 系统 的 合法 账户 ,因此 无 法 登 
录 该 计算 机 系统 。 由 于 有 些 合法 账户 的 账户 名 和 密码 比较 简单 ,因此 , 非 授 权 用 户 常常 通 
过 多 种 自己 猜测 的 账户 名 和 密码 尝试 登录 计算 机 系统 。 这 种 行为 是 对 该 计算 机 系统 的 攻 
击 行为 ,为 了 防御 此 类 攻击 行为 ,一 是 需要 通过 设置 账户 锁定 策略 限制 非 授权 用 户 的 尝试 
登录 过 程 ,二 是 需要 具有 发 现 这 种 攻击 行为 的 机 制 。 

2. 冒名 登录 计算 机 系统 

如 果菜 个 授权 用 户 的 账户 名 和 密码 不 幸 被 泄露 , 非 授权 用 户 可 以 冒充 该 授权 用 户 登 
录 该 计算 机 系统 ,并 对 该 计算 机 系统 进行 操作 。 为 了 发 现 这 种 攻击 行为 ,计算 机 系统 需要 
具有 记录 每 一 个 授权 用 户 的 登录 信息 的 机 制 , 记 录 的 登录 信息 中 包含 每 一 个 授权 用 户 的 
登录 和 退出 时 间 、 登 录 计算 机 系统 期 间 对 计算 机 系统 进行 的 操作 等 ,以 便 实际 授权 用 户 通 
过 比 对 发 现 是 否 有 非 授权 用 户 冒 充 自己 登录 该 计算 机 系统 。 

3. 执行 病毒 程序 

计算 机 系统 不 可 避免 地 会 感染 和 运行 病毒 程序 ,计算 机 系统 需要 具有 记录 病毒 程序 
运行 过 程 ,以 及 运行 过 程 中 对 该 计算 机 系统 实施 的 操作 的 机 制 , 以 便 用 户 评估 病毒 程序 可 
能 对 计算 机 系统 造成 的 损害 。 


























第 8 章 ”Wrdws 7 安全 审计 技术 





4. 误 操作 

授权 用 户 登 录 计 算 机 系统 期 间 , 可 能 会 对 计算 机 系统 进行 一 些 误 操 作 , 如 删除 不 该 删 
除 的 文件 ,安装 无 须 安装 或 不 该 安装 的 程序 等 。 计 算 机 系统 需要 具有 记录 授权 用 户 登 录 
该 计算 机 系统 过 程 中 对 该 计算 机 系统 实施 的 操作 的 机 制 ,以 便 用 户 发 现 可 能 发 生 的 误 操 
作 事 件 , 以 及 这 些 误 操作 事件 可 能 造成 的 损害 。 

5. 非法 访问 计算 机 资源 

不 同 用 户 具有 不 同 的 访问 计算 机 资源 的 权限 ,访问 控制 机 制 用 于 实现 每 一 个 用 户 只 
能 按照 权限 访问 计算 机 资源 的 过 程 。 但 存在 有 些 用 户 尝试 访问 没有 访问 权限 的 计算 机 资 
源 的 情况 ,甚至 可 能 发 生 有 些 用 户 通 过 非法 途径 成 功 访问 没有 访问 权限 的 计算 机 资源 的 
情况 ,因此 ,计算 机 系统 需要 具有 记录 每 一 个 用 户 对 计算 机 资源 实施 的 操作 的 机 制 , 以 便 
发 现 每 一 个 用 户 可 能 对 计算 机 资源 实施 的 非法 访问 过 程 。 

6. 黑客 入 侵 

黑客 通过 扫描 发 现存 在 漏洞 的 计算 机 系统 ,尝试 利用 漏洞 登录 该 计算 机 系统 ,非法 登 
录 该 计算 机 系统 后 在 该 计算 机 系统 中 设置 账户 或 者 安装 木马 程序 ,以 便 能 够 再 次 登录 该 
计算 机 系统 。 为 了 发 现 已 经 发 生 的 黑客 入 侵 过 程 ,计算 机 系统 需要 具有 记录 操作 系统 和 
应 用 程序 执行 过 程 中 完成 的 操作 的 机 制 ,以 及 记录 账户 创建 和 修改 过 程 的 机 制 , 以 便 通 过 
分 析 这 些 记录 的 信息 发 现 已 经 发 生 的 黑客 入 侵 过 程 。 


8.1.2 安全 审计 的 定义 和 作用 


1. 安全 审计 的 定义 

安全 审计 是 指 按照 安全 策略 记录 操作 系统 和 应 用 程序 的 执行 过 程 ,以 及 用 户 的 活动 
过 程 ,并 对 记录 的 信息 进行 分 析 , 从 而 发 现 计算 机 系统 中 可 能 存在 的 漏洞 .黑客 曾经 进行 
过 的 入 侵 行为 和 用 户 实施 的 错误 操作 的 过 程 。 

安全 审计 包含 两 个 方面 的 内 容 ,一 是 根据 安全 策略 记录 操作 系统 、 应 用 程序 和 用 户 完 
成 的 操作 。 由 于 计算 机 系统 在 运行 过 程 中 ,操作 系统 、 应 用 程序 和 用 户 完成 的 操作 不 胜 其 
数 , 因 此 需要 由 安全 策略 选择 需要 记录 的 操作 。 二 是 对 记录 的 信息 进行 分 析 , 从 而 发 现 计 
算 机 系统 可 能 存在 的 漏洞 .黑客 曾经 进行 过 的 入 侵 行为 和 用 户 对 计算 机 系统 实施 的 错误 
操作 。 

2. 安全 审计 的 作用 

安全 审计 具有 以 下 作用 。 

。 发 现 非 授权 用 户 尝试 登录 计算 机 系统 的 行为 。 

。 发 现 骨 名 登录 计算 机 系统 的 行为 ,并 跟踪 冒名 者 对 计算 机 系统 实施 的 操作 。 
发 现 执行 病毒 程序 的 痕迹 ,并 跟踪 病毒 程序 实施 的 破坏 活动 。 
发 现 用 户 对 计算 机 系统 实施 的 错误 操作 ,并 评估 错误 操作 的 后 果 。 
发 现 非法 访问 计算 机 资源 的 行为 。 
发 现 黑客 入 侵 过 程 ,并 跟踪 黑客 入 侵 过 程 中 对 计算 机 系统 实施 的 操作 。 
发 现 计算 机 系统 中 可 能 存在 的 漏洞 。 
对 潜在 的 攻击 者 起 到 威慑 和 警示 的 作用 。 
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。 作为 计算 机 取证 的 一 种 手段 ,为 追究 责任 者 提供 依据 。 
。 危害 评估 结果 可 以 为 制订 系统 恢复 和 灾难 恢复 方案 提供 依据 。 


8.2 审核 策略 和 安全 审计 


记录 所 有 程序 的 执行 过 程 和 所 有 用 户 的 活动 过 程 是 不 现实 的 ,一 是 无 法 存储 如 此 海 
量 的 信息 ,二 是 无 法 对 如 此 海量 的 信息 进行 分 析 、 处 理 。 因 此 ,必须 有 针对 性 地 记录 程序 
的 执行 过 程 和 用 户 的 活动 过 程 ,审核 策略 用 于 指定 某 些 程序 的 执行 过 程 和 某 些 用 户 的 活 
动 过 程 ,使 得 审核 日 志 只 记录 由 这 些 程序 执行 过 程 和 用 户 活动 过 程 触 发 的 审核 项 。 


821 审核 策略 


用 户 对 计算 机 系统 实施 的 每 一 个 操作 都 有 可 能 触发 一 项 审核 项 ,如 用 户 成 功 登录 计 
算 机 系统 ,用户 打开 某 个 文件 失败 等 都 有 可 能 触发 一 项 审核 项 ,审核 策略 是 控制 审核 日 志 
记录 审核 项 过 程 的 规则 。 审 核 策略 通过 指定 触发 审核 项 的 用 户 动 作 确定 要 求 审核 日 志 记 
录 的 审核 项 。 审 核 日 志 记录 的 审核 项 可 以 是 因为 成 功 完成 某 个 用 户 动 作 而 触发 的 审核 
项 ,也 可 以 是 因为 某 个 用 户 动作 失败 而 触发 的 审核 项 。 


822 审核 策略 配置 过 程 


完成 “开始 ”~ 运行 ?操作 过 程 ,弹出 如 图 8. 1 所 示 的 “运行 "程序 界面 ,在 “打开 ”输入 
框 中 输入 命令 gpedit. msc, 在 弹出 的 组 策略 编辑 界面 中 ,完成 “计算 机 配置 ">“Windows 
设置 ”一 安全 设置 ”本 地 策略 ”审核 策略 ?操作 过 程 ,弹出 如 图 8. 2 所 示 的 审核 策略 
配置 界面 。 对 于 界面 中 的 每 一 个 审核 策略 ,可 以 选择 “成 功 近 失败 ”和 "不 审核 ”。 选 择 “ 成 
功 ”, 要 求 审核 日 志 记录 因为 成 功 完成 指定 用 户 动 作 而 触发 的 审核 项 。 选 择 * 失 败 ”, 要 求 
审核 日 志 记录 因为 指定 用 户 动作 失败 而 触发 的 审核 项 。 选 择 “ 不 审核 ”, 审 核 日 志 不 记录 
与 指定 用 户 动作 有 关 的 审核 项 。 














加 运行 


] 事 Windows 将 根据 作 所 给 入 的 名 称 为 种 开 相应 的 人 序 
. 文件 夹 . 文档 或 Internet 资源 





打开 (O): gpeditmsc 
转生 用 舍 理 权限 创建 此 任务 . 





| | (se. 

















8.1 “运行 ”程序 界面 


， 审 核 策 略 更 改 : 该 策略 指定 的 用 户 动作 是 更 改 审核 策略 和 用 户 权 限 分 配 。 通 过 
设置 可 以 要 求 审核 日 志 记 录 因 为 成 功 完成 审核 策略 更 改动 作 而 触发 的 审核 项 , 以 
及 因为 更 改 审 核 策 略 动作 失败 而 触发 的 审核 项 。 
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图 8.2 审核 策略 配置 


审核 登录 事件 : 该 策略 指定 的 用 户 动作 是 某 个 账户 登录 或 注销 当前 计算 机 系统 。 
通过 设置 ,可 以 要 求 审核 日 志 记录 因为 该 账户 成 功 登录 当前 计算 机 系统 而 触发 的 
审核 项 ,以 及 因为 登录 失败 而 触发 的 审核 项 。 

审核 对 象 访问 : Windows 7 可 以 通过 设置 访问 控制 表 对 某 个 计算 机 资源 进行 授 
权 , 访 问 控 制 表 是 一 组 具有 访问 该 计算 机 资源 权限 的 用 户 组 和 用 户 列 表 。 该 策略 
指定 的 用 户 动作 是 访问 设置 了 访问 控制 表 的 计算 机 资源 。 通 过 设置 ,可 以 要 求 审 
核 日 志 记录 因为 成 功 访 问 该 计算 机 资源 而 触发 的 审核 项 ,以 及 因为 访问 失败 而 触 
发 的 审核 项 。 审 核 日 志 记 录 相 应 审核 项 的 前 提 有 两 个 : 一 是 为 某 个 计算 机 资源 
设置 了 访问 控制 表 ; 二 是 为 该 计算 机 资源 设置 了 触发 审核 项 的 一 组 用 户 组 和 用 
户 , 以 及 每 一 个 用 户 组 或 用 户 的 访问 权限 。 

审核 进程 跟踪 : 该 策略 指定 的 是 操作 系统 和 应 用 程序 的 活动 ,如 程序 激活 、 进 程 
退出 ,句柄 复制 和 间接 对 象 访问 等 。 通 过 设置 ,可 以 要 求 审核 日 志 记 录 因 为 跟踪 
操作 系统 和 应 用 程序 活动 而 触发 的 审核 项 ,以 及 因为 跟踪 失败 而 触发 的 审核 项 。 
由 于 计算 机 系统 运行 过 程 中 会 触发 大 量 与 该 审核 策略 相关 的 审核 项 ,因此 ,除非 
确实 需要 跟踪 程序 运行 过 程 ,一 般 情况 下 ,应 该 选择 “不 审核 ”。 
审核 目录 服务 访问 : 该 策略 指定 的 用 户 动作 是 访问 Microsoft Active Directory 
中 设置 了 访问 控制 表 的 对 象 。 通 过 设置 ,可 以 要 求 审核 日 志 记录 因为 成 功 访问 该 
对 象 而 触发 的 审核 项 ,以 及 因为 访问 失败 而 触发 的 审核 项 。 

审核 特权 使 用 : 该 策略 指定 的 用 户 动作 是 行使 用 户 权 限 。 通 过 设置 ,可 以 要 求 审 
核 日 志 记 录 因 为 成 功 行使 用 户 权限 而 触发 的 审核 项 ,以 及 因为 行使 用 户 权 限 失败 
而 触发 的 审核 项 。 用 户 在 使 用 计算 机 系统 的 过 程 中 会 触发 大 量 与 该 审核 策略 相 
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关 的 审核 项 ,因此 ,通常 情况 下 应 该 选择 “不 审核 ”。 

审核 系统 事件 : 该 策略 用 于 确定 审核 日 志 是 否 记录 以 下 活动 触发 的 审核 项 : 一 是 
用 户 启动 和 关闭 计算 机 系统 ;二 是 计算 机 系统 发 生 影响 系统 安全 或 安全 日 志 的 事 
件 。 通 过 设置 ,可 以 要 求 审核 日 志 记录 因为 成 功 完 成 以 上 活动 而 触发 的 审核 项 ， 
以 及 因为 以 上 活动 失败 而 触发 的 审核 项 。 

审核 账户 登录 事件 : 该 策略 指定 的 用 户 动作 是 某 个 账户 登录 或 注销 其 他 计算 机 
系统 ,其 他 计算 机 系统 是 指 非 目前 完成 审核 策略 配置 的 计算 机 系统 。 通 过 设置 ， 
可 以 要 求 审核 日 志 记录 因为 该 账户 成 功 登录 其 他 计算 机 系统 而 触发 的 审核 项 ,以 
及 因为 登录 失败 而 触发 的 审核 项 。 

审核 账户 管理 : 该 策略 指定 的 用 户 动 作 是 账户 管理 ,包括 创建 修改 、 删 除 用 户 账 
户 , 禁 用 和 启用 用 户 账户 ,修改 和 设置 用 户 账户 密码 等 。 通 过 设置 ,可 以 要 求 审核 
日 志 记 录 因为 成 功 完成 账户 管理 操作 而 触发 的 审核 项 ,以 及 因为 账户 管理 操作 失 
败 而 触发 的 审核 项 。 


如 果 需 要 配置 某 个 审核 策略 , 则 双击 该 策略 ,弹出 如 图 8. 3 所 示 的 策略 属性 配置 界面 ， 
可 以 分 别 勾 选 “ 成 功 " 和 “失败 ”, 如 果 勾 选 “成 功 ”, 则 要 求 审核 日 志 记录 因为 成 功 完成 该 策略 
对 应 的 用 户 动作 而 触发 的 审核 项 。 如 果 勾 选 “ 失 败 ”, 则 要 求 审 核 日 志 记 录 因 为 该 策略 对 应 
的 用 户 动作 失败 而 触发 的 审核 项 。 如 果 “ 成 功 " 和 “失败 ”都 不 色 选 , 则 表示 不 审核 。 
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图 8.3 配置 策略 属性 


823 审核 策略 应 用 实例 


1 


记录 用 户 登 录 事件 


通过 记录 用 户 因为 登录 成 功 和 登录 失败 而 触发 的 审核 项 ,跟踪 用 户 使 用 计算 机 系 
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统 的 情况 和 非 授 权 用 户 通过 多 种 自己 猜测 的 账户 名 和 密码 尝试 登录 计算 机 系统 的 
情况 。 

(1) 配置 审核 策略 

在 弹出 图 8. 2 所 示 的 审核 策略 配置 界面 后 ,双击 “审核 登录 事件 ”选项 ,弹出 如 图 8. 4 
所 示 的 审核 登录 事件 属性 配置 界面 ,因为 需要 同时 记录 因为 登录 成 功 和 登录 失败 而 触发 
的 审核 项 ,因此 同时 色 先 “成功” 和 “失败 ”, 单 击 “ 确 定 ” 按 钮 ,完成 审核 登录 事件 属性 配置 
过 程 。 
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8.4 审核 登录 事件 属性 配置 


(2) 查看 审核 项 

用 账户 名 userA 登录 计算 机 系统 ,第 一 次 登录 时 ,因为 输入 错误 的 密码 导致 登录 失 
败 , 第 二 次 登录 时 ,登录 成 功 。 审 核 日 志 将 记录 这 两 次 登录 过 程 。 

完成 “开始 ”>“ 控 制 面板 ”>“ 系 统 和 安全 "一 “管理 工具 ”操作 过 程 ,弹出 如 图 8.5 所 
示 的 管理 工具 下 的 程序 清单 ,双击 “事件 查看 器 "选项 ,弹出 如 图 8. 6 所 示 的 事件 查看 器 显 
示 的 查看 结果 。 完 成 “Windows 日 志 ”>“ 安 全 ”操作 过 程 ,弹出 如 图 8.7 所 示 的 审核 日 志 
中 记录 的 审核 项 。 审 核 项 按照 时 间 顺 序 排列 ,任务 类 别 字段 可 以 看 出 审核 项 与 审核 策略 
之 间 的 关系 。 找 到 因为 以 账户 名 userA 登录 计算 机 系统 失败 而 触发 的 审核 项 ,审核 项 中 
给 出 如 图 8. 8 所 示 的 相关 信息 。 找 到 因为 以 账户 名 userA 成 功 登 录 计 算 机 系统 而 触发 的 
审核 项 ,审核 项 中 给 出 如 图 8. 9 所 示 的 相关 信息 。 

2. 记录 用 户 访问 文件 事件 

完成 以 下 三 项 配置 过 程 后 ,审核 日 志 中 可 以 记录 因为 特定 用 户 对 指定 文件 或 文件 夹 
实施 操作 而 触发 的 审核 项 。 这 三 项 配置 过 程 包括 策略 “审核 对 象 访问 "属性 配置 过 程 \ 指 
定 文件 夹 审核 项 目 配 置 过 程 和 指定 文件 夹 访问 权限 配置 过 程 。 
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图 8.5 管理 工具 下 的 程序 清单 
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图 8.6 事件 查看 器 显示 的 查看 结果 
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图 8.8 登录 失败 审核 项 中 的 相关 信息 


(1) 配置 审核 策略 

在 弹出 如 图 8. 2 所 示 的 审核 策略 配置 界面 后 ,双击 “审核 对 象 访问 ”选项 ,弹出 如 
图 8. 10 所 示 的 审核 对 象 访问 属性 配置 界面 ,同时 色 先 “成功” 和“ 失败”, 单 击 “ 确 定 ” 按 钮 ， 
完成 审核 对 象 访问 属性 配置 过 程 。 这 里 的 “成 功 ? 是 指 用 户 按照 设 定 权 限 对 该 文件 或 文件 
夹 实施 操作 。 这 里 的 “失败 ?是 指 用 户 违背 权限 对 该 文件 或 文件 夹 实施 操作 。 当 然 ,在 为 
文件 或 文件 夹 设置 访问 权限 后 ,违背 权限 的 操作 是 无 法 成 功 的 。 
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图 8.9 登录 成 功 审核 项 中 的 相关 信息 
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确定 取消 ] [ 应 用 























图 8.10 审核 对 象 访问 属性 配置 


完成 “审核 登录 事件 "和 ”审核 对 象 访问 "这 两 个 策略 的 属性 配置 过 程 后 ,审核 策略 配 
置 界 面 如 图 8. 11 所 示 。 

(2) 配置 审核 项 目 

创建 一 个 用 于 存放 截图 的 名 为 “图 ”的 文件 夹 ,选中 该 文件 夹 并 右 击 ,在 弹出 的 菜单 中 
选择 “属性 ”选项 ,在 弹出 的 属性 配置 界面 中 , 单 击 “ 安 全 ”选项 卡 , 弹 出 如 图 8. 12 所 示 的 安 
全 属性 配置 界面 。 单 击 “ 高 级 ”按钮 ,弹出 如 图 8. 13 所 示 的 高 级 安全 设置 界面 , 单 击 “ 审 
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图 8.11 审核 策略 配置 
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中 SISTEN 
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图 8.12 安全 属性 配置 


核 ”选项 卡 ,弹出 如 图 8. 13 所 示 的 询问 是 否 继续 的 查询 界面 , 单 击 “ 确 定 ” 按 钮 ,弹出 如 
图 8. 14 所 示 的 添加 审核 项 目的 界面 。 单 击 “添加 ”按钮 ,弹出 如 图 8. 15 所 示 的 添加 用 户 
或 用 户 组 界面 ,只 有 在 用 户 或 用 户 组 列表 中 存在 的 用 户 或 用 户 组 对 该 文件 夹 进行 的 操作 ， 
才 会 触发 审核 项 。 可 以 直接 在 如 图 8. 15 所 示 的 输入 框 中 输入 指定 的 用 户 名 或 用 户 组 名 ， 
也 可 以 在 计算 机 系统 中 所 有 的 用 户 名 和 用 户 组 名 中 选择 指定 的 用 户 名 和 用 户 组 名 。 如 果 
需要 在 计算 机 系统 中 所 有 的 用 户 名 和 用 户 组 名 中 进行 选择 , 则 单 击 “ 高 级 "按钮 ,弹出 如 
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[加 图 的 高 级 安全 设置 
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图 8.13 审核 项 目 配置 是 否 继续 查询 
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审核 
要 查看 或 编辑 审核 项 目的 详细 信息 ， 请 选择 该 项 目 并 单 击 “编辑”。 
对 象 名 称 7 了 :图 
审核 项 目 0) 
类 型 名 称 访问 继承 于 应 用 于 
添加 ODsssss| | 蝙 辑 呈 ) [Ty 
国 包 括 可 从 该 对 象 的 父 项 继承 的 审核 项 目 I) 
国 使 用 可 从 此 对 象 继承 的 审核 项 目 普 换 所 有 后 代 上 现 有 的 所 有 可 继承 审核 项 目 F) 
宣 可 人 么 ? 
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图 8.14 添加 审核 项 目 


选择 用 户 或 组 





选择 此 对 象 类 型 5S): 
用 户 、 组 或 内 置 安全 主体 
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ADNTN-PC 
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太守 “| 攻 下 滋 























图 8.15 添加 用 户 或 用 户 组 





第 日 章 “wrdws7 安 全 审计 技术 加 


图 8.16 所 示 的 选择 用 户 或 用 户 组 界面 , 单 击 * 立 即 查找 ?按钮 ,搜索 结果 框 中 列 出 了 计算 
机 系统 中 所 有 的 用 户 和 用 户 组 。 选 中 userA , 单 击 “确定 ?按钮 ,用 户 或 用 户 组 列表 中 出 现 
用 户 名 userA,userA 对 该 文件 夹 的 操作 将 触发 审核 项 。 添 加 userA 后 的 用 户 或 用 户 组 
列表 如 图 8. 17 所 示 。 单 击 “ 确 定 ” 按 钮 ,弹出 如 图 8. 18 所 示 的 userA 审核 项 目 配置 界面 
如 果 勾 选 “ 成 功 ” 一 列 中 的 操作 , 且 在 审核 对 象 访问 属性 配置 过 程 中 勾 选 了 “成 功 ”, 则 当 
userA 对 名 为 “图 ”的 文件 夹 实 施 这 些 操作 时 ,将 触发 审核 项 。 同样, 如果 勾 选 “ 失 败 ” 一 列 
中 的 操作 , 且 在 审核 对 象 访问 属性 配置 过 程 中 色 选 了 “失败 ”, 则 当 userA 对 名 为 “图 ”的 
文件 夹 实施 这 些 操 作 时 ,也 将 触发 审核 项 。 完 成 “成 功 ”" 和 “失败 ”操作 勾 选 后 , 单 击 “确定 ” 
按钮 ,弹出 如 图 8. 19 所 示 的 名 为 “图 ”的 文件 夹 的 审核 项 目 配置 结果 , 单 击 “ 确 定 ” 按 钮 , 完 


成 审核 项 目 配置 过 程 。 
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图 8.17 用 户 或 用 户 组 列表 
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图 8.18 userA 审核 项 目 配置 

















审核 

要 查看 或 编辑 审核 项 目的 详细 信息 ， 请 选择 该 项 目 并 单 击 “ 编 辑 ”。 

对 象 名 称 ; 7 了 :图 

审核 项 目 0) 
类 型 名 称 访问 继承 于 应 用 于 
失败 userA (ADNIN-PC\userA) ”特殊 < 下 是 继承 的 > 此 文件 夹 、 子 文件 
成 功 userA (ADNIN-PC\userA) 。 特殊 < 趟 是 继承 的 > 此 文件 夹 、 子 文件 
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国 包 括 可 从 该 对 象 的 父 项 继承 的 审核 项 目 上 ) 
国 使 用 可 从 此 对 象 继承 的 审核 项 目 普 换 所 有 后 代 上 现 有 的 所 有 可 继承 审核 项 目 P) 























应 用 的 








图 8.19 审核 项 目 配置 结果 


(3) 访问 权限 配置 过 程 

对 名 为 “图 ”的 文件 夹 完 成 访问 权限 设置 过 程 ,添加 用 户 userA ,允许 该 用 户 对 文件 夹 
进行 遍历 文件 夹 和 列 出 文件 夹 操作 ,禁止 该 用 户 对 文件 夹 进 行 删除 文件 夹 .删除 子 文件 夹 
和 文件 操作 。 完 成 该 文件 夹 的 权限 配置 过 程 后 ,名 为 “图 ”的 文件 夹 的 权限 如 图 8. 20 
所 示 。 
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若 要 查看 某 个 权限 项 目的 详细 信息 ， 请 双击 该 项 目 。 若 要 修改 权限 ， 请 单 击 “ 更 改 权限 ”。 


























对 象 名 称 17: 图 
权限 项 目 9) 
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图 8.20 文件 夹 权限 


(4) 查看 审核 项 

userA 对 名 为 “图 ”的 文件 夹 进行 如 下 操作 。 打 开 文 件 夹 ,尝试 删除 文件 夹 中 名 为 “ 捕 
获 3. png” 的 文件 。 由 于 userA 对 该 文件 夹 拥 有 列 出 所 有 文件 的 权限 ,因此 ,打开 文件 夹 
操作 是 成 功 的 ,打开 文件 夹 操 作 触 发 的 审核 项 如 图 8. 21 所 示 。 由 于 userA 对 该 文件 夹 没 
有 删除 其 中 文件 的 权限 ,因此 ,删除 文件 夹 中 名 为 “捕获 3. png” 的 文件 的 操作 是 被 禁止 
的 ,该 操作 触发 的 审核 项 如 图 8. 22 所 示 。 
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8.21 列 出 文件 夹 中 文件 相关 的 审核 项 
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图 8.22 删除 文件 夹 中 文件 相关 的 审核 项 


8.3 Prefetch 文件 夹 和 安全 审计 


Prefetch 文件 夹 中 的 每 一 个 文件 用 于 记录 最 近 执 行 过 的 某 个 应 用 程序 的 执行 过 程 。 
WinPrefetchView 是 一 款 用 于 阅读 Prefetch 文件 夹 中 文件 的 软件 ,通过 两 者 的 结合 ,可 以 
了 解 最 近 执 行 过 的 所 有 应 用 程序 的 执行 情况 。 这 一 功能 可 以 用 于 发 现 病毒 程序 执行 过 程 
和 应 用 程序 执行 过 程 中 加 载 的 所 有 其 他 可 执行 文件 。 


83.1 检查 程序 执行 过 程 


安全 审计 过 程 中 ,有 时 需要 了 解 近期 执行 的 程序 ,以 及 每 一 个 程序 在 执行 过 程 中 加 载 
其 他 可 执行 文件 的 过 程 。 由 于 病毒 程序 只 有 在 执行 后 才能 完成 感染 和 破坏 过 程 ,因此 ,在 
发 现 计算 机 系统 中 存在 病毒 程序 的 情况 下 ,也 需要 了 解 该 病毒 程序 是 否 已 经 被 执行 、 何 时 
执行 等 情况 。 因 此 ,检查 程序 执行 过 程 已 经 成 为 安全 审计 的 一 个 重要 组 成 部 分 。 


832 ”Prefetch 文 件 夹 


Windows 每 执行 一 个 应 用 程序 时 , 便 将 该 应 用 程序 的 执行 情况 写 入 一 个 文件 中 ,该 
文件 的 文件 名 格式 是 “可 执行 文件 名 十 文件 路 径 的 报 文摘 要 十 后 缀 名 pf”。 这 些 文件 存 
储 在 名 为 Prefetch 的 文件 夹 中 ,Prefetch 文件 夹 的 完整 路 径 为 C:\Windows\Prefetch。 
应 用 程序 的 执行 情况 包括 第 一 次 和 最 后 一 次 执行 时 间 执行 次 数 、 执 行 过 程 中 加 载 其 他 可 
执行 文件 的 情况 。 如 图 8. 23 所 示 是 Prefetch 文件 夹 中 的 文件 ,如 描述 Excel. exe 可 执行 
文件 执行 情况 的 Prefetch 文件 夹 中 文件 的 文件 名 是 EXCELEXE-52A22446. pf, 其 中 ， 
EXCELEXE 是 可 执行 文件 名 (Excel. exe) ,52A22446 是 文件 路 径 报 文摘 要 的 低 32 位 ,该 
文件 的 后 缀 名 是 pf。 
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IDIODG EXE-BDFD3029 pf 2018/U6 17:42 
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图 8.23 Prefetch 文件 夹 中 的 文件 




















833 查看 Prefetch 文 件 夹 中 文件 


每 当 执 行 某 个 应 用 程序 时 ,Prefetch 文件 夹 中 创建 用 于 描述 该 应 用 程序 执行 情况 的 对 
应 文件 ,该 文件 中 包括 许多 有 关 该 应 用 程序 执行 过 程 的 信息 。 需 要 用 专用 软件 阅读 Prefetch 
文件 夹 中 的 文件 。WinPrefetchView 就 是 一 款 用 于 阅读 Prefetch 文件 夹 中 文件 的 软件 。 这 
是 一 个 可 以 直接 运行 的 可 执行 程序 ,启动 后 ,出 现 如 图 8. 24 所 示 的 WinPrefetchView 界面 ， 
该 界面 分 为 上 下 两 部 分 ,上 半 部 分 列 出 Prefetch 文件 夹 中 的 所 有 文件 ,下 半 部 分 是 上 半 部 分 
选中 的 文件 所 对 应 的 应 用 程序 在 执行 过 程 中 加 载 的 可 执行 文件 列表 。 如 图 8. 24 所 示 , 当 上 















































File Edit View Options Help 
X 回国 划 共 名 及 
Filename / Created Time 。 Modified Time File Size Process EXE 习 
园 DULHOST.EXE-F2DC.。2017/12/25 02-， 2018/1/6 18:04.。 34.002 DLLHOST.EXE 
DSMAIN.EXE-F5A39.. 2017/12/25 16:.. 2018/1/6 22:45.. 94,232 DSMAIN.EXE 
回 bDWML.EXE-6FFD3DA- 2018/1/3 10:38-。 2018/1/3 10.38-。 30.942 DWM.EXE 
六 ENERGY MANAGER-- 2017/12/25 21:.。 2018/1/3 10:39.。 88.204 ENERGY MANAG.. 
国 ExcELEXE-53A2244- 2018/1/6 17:43.。 2018/1/6 17:43-， 112.792 EXCELEXE 
园 EXpLORER.EXE-A80-，2018/1/3 10:38.。 2018/1/6 22:54-， 209700 EXPLORER.EXE 
YHELPPANE.EXE-FED. 2017/12/26 12:.。 2017/12/26 12- 87580 HELPPANEEXE ~ 
[一 
Flename / Full Path Device path I 
国 AccpAT CNUsersvadminWppData\localLo-。 \DEVICEVHARDDISKVOLUMEZWUS-。 5 
国 ADvApH2DLL CAWindows\System32\advapi32.dIl  \DEVICEVHARDDISKVOLUMEZWIL。 6 
国 APLMS-WIN-CORE- CNWindows\system32WPLMS-WL。 \DEVICEWHARDDISKVOLUMEZNWL。 5 
国 AplsETSCHEMADLL CAWindows\System32\APISETSCH.。 \DEVICE\HARDDISKVOLUMEAWIL.。 2 
图 ApPHELP.DLL CAWindows\System32\apphelp.dll 。 \DEVICE\HARDDISKVOLUMEZAWIL.. 2 
国 BcRYpTDLL CAWindows\System32\bcryptdll © \DEVICEVHARDDISKVOLUMEZWL， 1 
入 RRANNSCNCONFIG _CAlleerc\admin\ AnnNata\l ocall on MNFVICF\HARNDNISKVAILIMFALIS i 
128 Files, 1 Selected MirSoft Freeware. httpwww.nirsoft.net 
上 J 











图 8.24 WinPrefetchView 
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半 部 分 选中 Excel. exe 对 应 的 文件 时 ,下 半 部 分 列 出 Excel. exe 执行 过 程 中 加 载 的 可 执行 文 
件 。 如 果 需 要 了 解 某 个 应 用 程序 的 执行 情况 ,如 第 一 次 执行 时 间 、 最 后 一 次 执行 时 间 执行 
次 数 等 ,在 上 半 部 分 选中 该 应 用 程序 对 应 的 文件 并 右 击 ,在 弹出 的 菜单 中 选择 属性 
(Properties) ,将 弹出 如 图 8. 25 所 示 的 该 应 用 程序 执行 情况 。 


Properties - ~ ng 











Filename: EXCEL.EXE-53A22446.pf 

Created Time: 20181116 17:43:10 

Modified Time: ”20181116 17:43:10 

File Size: 112,792 

Process EXE: 。 EXCELEXE 

Process Path: CAPROGRAM FILESWMICROSOFT OFFICEVOffice14VE 
Run Counter 1 

LastRun Time: 2018/1/6 17:43:00 


























Missing Process: No 

















图 8.25 应 用 程序 执行 情况 


Prefetch 文件 夹 中 名 为 NTOSBOOT-B00DFAAD. pf 的 文件 是 一 个 特殊 的 文件 , 它 
是 由 系统 引导 程序 创建 的 ,因此 选中 该 文件 后 ,下 半 部 分 列 出 的 就 是 系统 引导 过 程 中 加 载 
的 可 执行 文件 ,如 图 8. 26 所 示 。 
























Fe ie Vie Olona 











X 回国 曲 蛤 名 用 
Filename / Created Time Modified Time File Size Process EXE 司 
克 MMCEXE-EF66D10-， 2018/1/6 15:54.。 2018/1/6 15.54-。 233.996 MMC.EXE 
回 MpCMDRUN.EXE-F-。 2017/12/25 16:.。 2018/1/6 22:56.。 43,640 MPCMDRUN.EXE 
回 MSCORSVW .EXE-C3.， 2016/1/27 10:5.。 2018/1/6 22:25.。 15,334 MSCORSVW.EXE 
国 MSPAINT.EXE-76E1.. 2017/12/25 22:.. 2018/1/3 12:27.。 95,738 MSPAINT.EXE 
访 NSLOOKUP.EXE-3D..。 2017/12/25 16:.. 2017/12/25 16:.。 13,744 NSLOOKUP.EXE 


国 NTOSBOOT-B00DF.。 2017/4/12 18.3.。 2018/1/3 10:31.。 3,203,446 


OSPPSVC.EXE-E53D..。 2018/1/6 1 2018/1/6 1741.。 46 510 OSPPSVC.EXE 本 
1 a » 


Filename / Full Path Device Path kre 








国 SiBpR4DTLNK CASRecycle.Bin\S-1-5-21-5616006.. \DEVICE\HARDDISKVOLUME2\SR.. 工 
六 SMFT CN \DEVICENHARDDISKVOLUME2WSM-，0 
回 SMFT DAWindows\System32\drivers\igd.. \DEVICE\HARDDISKVOLUME3\$M.. 6: 
回 $MFT \DEVICE\HARDDISKVOLUME1\SM... 
回 SMFT EAWindows\System32\zh-CN\CSC.. \DEVICE\HARDDISKVOLUMEA\SM... 






国 $REPARSE CASEXTEND\SREPARSE \DEVICE\HARDDISKVOLUME2\S$E... 


四 时 - 回 、】 

















图 8.26 引导 过 程 中 可 执行 文件 的 加 载 情况 


8.4 ” 自 启动 项 和 安全 审计 


自 启动 项 列表 中 的 程序 都 是 操作 系统 启动 后 自动 执行 的 程序 ,病毒 程序 为 了 实现 自 
动 激发 ,常常 在 第 一 次 运行 时 将 自己 添加 到 自 启动 项 列表 中 。 因 此 ,定期 检查 自 启动 项 列 
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表 也 是 防范 病毒 程序 实施 破坏 的 一 种 手段 。 
841 自 启 动 项 和 病毒 程序 激发 过 程 


运行 操作 系统 后 ,操作 系统 能 够 自动 执行 一 些 程序 ,这 些 程序 被 称 为 自 启动 项 。 计 算 
机 系统 感染 病毒 后 ,需要 不 时 激发 病毒 程序 。 激 发 病毒 程序 的 方法 之 一 就 是 将 该 病毒 程 
序 作为 自 启动 项 ,以 此 保证 每 一 次 启动 操作 系统 时 能 够 自动 执行 该 病毒 程序 。 因 此 ,病毒 
程序 往往 在 第 一 次 运行 时 ,完成 将 病毒 程序 添加 到 自 启动 项 列表 的 过 程 。 

由 于 自 启动 项 列表 中 可 能 存在 病毒 程序 ,因此 ,定期 查看 自 启动 项 也 是 一 种 检测 计算 
机 系统 是 否 已 经 感染 病毒 程序 的 机 制 。 


842 查看 自 启 动 项 列表 


完成 “开始 ”>“ 运 行 ”操作 过 程 ,弹出 如 图 8. 27 所 示 的 “运行 "界面 ,在 “打开 ”输入 框 
中 输入 命令 msconfig, 在 弹出 的 “系统 配置 "界面 中 ,选择 “启动 ”选项 卡 ,弹出 如 图 8. 28 所 
示 的 自 启动 项 列表 ,可 以 通过 不 再 勾 选 某 个 启动 项 禁止 该 启动 项 ,如 图 8. 28 中 禁止 的 


McAfee 





Security Scanner。 





本 运行 


配 Windows 检 根 据 您 所 蛤 入 的 名 称 ,为 您 打开 相应 的 程序 、 
文件 夹 、 文档 或 Internet 资源 


打开 (O); msconfig 
轩 使 用 管理 权限 创建 此 任务 


























图 8.27 “运行 "界面 
























































Microse ft. Microso ft C. C: Windows\. HECU\SOFTWARE\N. 
国 weAfee Se NeAfee, Inc. CN\PROGRA1... C:\ProgramDatal\ 2017/7/10 .. 
2 站。 | [| ”全 部 桂 用 0) 
确定 取消 sa] [ 应 用 人 | (ca 孝 助 
































图 8.28 自 启动 项 目 列表 
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a 


本 章 小 结 


计算 机 系统 时 刻 面临 安全 威胁 ,消除 安全 威胁 的 前 提 是 确定 安全 威胁 危害 计算 机 
系统 的 过 程 。 

安全 审计 是 指 按照 安全 策略 记录 操作 系统 和 应 用 程序 的 执行 过 程 ,以 及 用 户 的 活 
动 过 程 ,对 记录 的 信息 进行 分 析 , 从 而 发 现 计算 机 系统 中 可 能 存在 的 漏洞 .黑客 曾 
经 进行 过 的 入 侵 行为 和 用 户 实施 的 错误 操作 的 过 程 。 

审核 策略 用 于 指定 审核 日 志 记录 由 哪些 程序 执行 过 程 触发 的 审核 项 和 由 哪些 用 
户 操作 触发 的 审核 项 。 

Prefetch 文件 夹 中 的 每 一 个 文件 用 于 记录 最 近 执 行 过 的 某 个 应 用 程序 的 执行 
情况 。 

自 启动 项 列表 中 的 程序 都 是 操作 系统 启动 后 自动 执行 的 程序 。 

审核 日 志 、Prefetch 文件 夹 中 的 文件 和 自 启动 项 列表 都 是 用 于 发 现 安全 威胁 的 信 
息 源 。 


习 是 


1 简 述 计算 机 系统 面临 的 安全 威胁 。 


.2 简 述 安 全 审计 对 保障 计算 机 系统 安全 的 重要 性 。 


3 如果 需 要 检测 是 否 存在 用 穷 举 法 尝试 登录 计算 机 系统 的 情况 ,应 如 何 设置 审核 


如 果 需 要 发 现 非 授权 用 户 尝试 访问 某 个 文件 的 情况 ,应 如 何 设置 审核 策略 ? 
如 何 利用 Prefetch 文件 夹 发 现 病毒 程序 的 执行 过 程 ? 
如 何 利用 Prefetch 文件 夹 发 现 某 个 程序 在 执行 过 程 中 加 载 的 其 他 可 执行 


.7 简 述 禁止 某 个 自 启 动 项 的 过 程 。 


英文 缩写 词 


3G(Third Generation) 第 三 代 移 动 通信 技术 (4. 2) 

ACL(Access Control Lists) 访 问 控制 表 (6. 4) 

AES(Advanced Encryption Standard) 高 级 加 密 标 准 (2. 1) 
AH(Authentication Header) 鉴 别 首部 (7.2) 

AKA(Authentication and Key Agreement) 身 份 鉴别 与 密 钥 协商 (4.3) 
AMF(Authenticated Management Field) 鉴 别管 理 域 (4. 3) 

AP(Access Point) 接 人 点 (2.4) 

ARP(Address Resolution Protocol) 地 址 解析 协议 (1. 3) 

BIOS(Basic Input Output System) 基 本 输入 输出 系统 (3. 1) 

BSA(Basic Service Area) 基 本 服务 区 (1. 3) 

BSS(Basic Service Set) 基 本 服务 集 (4. 2) 

BYOD(Bring Your Own Device) 携 带 自己 的 办 公设 备 (1. 3) 
CA(Certification Authority) 认 证 中 心 (2. 3) 

CHAP(Challenge Handshake Authentication Protocol) 挑 战 握手 鉴别 协议 (6. 2) 
CRC(Cyclic Redundancy Check) 循 环 元 余 检验 (4. 4) 

CRL(Certificate Revocation Listb) 证 书 撤销 列表 (2. 3) 
C/S(Client/Server) 客 户 /服务 器 结构 (1. 2) 

DES(Data Encryption Standard) 数 据 加 密 标准 (2. 1) 

DHCP(Dynamic Host Configuration Protocol) 动 态 主机 配置 协议 (4. 4) 
DLL(Dynamic Link Library) 动 态 链接 库 (3. 2) 

DNS(Domain Name System) 域 名 系统 (4. 4) 

DS(Digital Signature) 数 字 签 名 (2. 3) 

EC(Electronic Commerce) 电 子 商务 (5.1) 

EFS(Encrypting File System) 加 密 文 件 系统 (6. 3) 

ESP(Encapsulating Security Payload) 封 装 安全 净 荷 (7. 2) 
GPRS(General Packet Radio Service) 通 用 分 组 无 线 业务 (1. 2) 
GSM(Global System for Mobile communication) 全球 移动 通信 系统 (1. 3) 
HLR(Home Location Register) 归 属 位 置 寄存 器 (4. 3) 

HMAC(Hashed Message Authentication Codes) 散 列 消息 鉴别 码 (2.2) 
HTML(Hyper Text Markup Language) 超 文本 标记 语言 (3. 1) 
IBSS(Independent BSS) 独 立 基本 服务 集 (4.2) 

ICMP(Internet Control Message Protocol) Internet 控制 报 文 协议 (7. 1) 
ICV(Integrity Check Value) 完 整 性 检验 值 (4. 4) 

IKE(Internet Key Exchange)Internet 密 钥 交换 协议 (7. 2) 
IMSI(International Mobile Subscriber Identification number) 国 际 移动 用 户 识 别 码 (4. 3) 
IP(Internet Protocol) 网 际 协议 (7. 1) 

IPSec(Internet Protocol Security) Internet 安全 协议 (7. 2) 

ISP(Internet Service Provider) Internet 服务 提供 商 (2.4) 
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IV(Initialization Vector) 初 始 向 量 (4. 4) 

LBS(Location Based Services) 基 于 位 置 服务 (1. 2) 

MAC(Medium Access Control) 媒 体 接 人 控制 (4. 2) 

MAC(Message Authentication Code) 消 息 鉴 别 码 (4.3) 
MD5(Message Digest version 5) 报 文摘 要 第 5 版 (2. 2) 
NAT(Network Address Translation) 网 络 地 址 转换 (1.3) 
NFC(Near Field Communication) 近 场 通信 (5. 2) 

NTFS(New Technology File System) 新 技术 文件 系统 (6. 3) 
P2P(Peer to Peer) 对 等 结构 (1.2) 

PE(Portable Executable) 可 移植 的 执行 体 (3. 1) 

PKI(Public Key Infrastructure) 公 钥 基 础 设施 (2. 3) 

PMK(Pairwise Master Key) 成 对 主 密 钥 (4. 4) 

PSK(Pre-Shared Key) 预 共享 密 钥 (4. 4) 

PTK(Pairwise Transient Key) 成 对 过 渡 密 钥 (4. 4) 

SA(Security Association) 安 全 关联 (7. 2) 

SHA-1(Secure Hash Algorithm 1) 安 全 散 列 算法 第 1 版 (2. 3) 
SID(Security Identifiers) 安 全 标识 符 (6. 3) 

SIM(Subscriber Identity Module) 用 户 身份 识别 卡 (4. 3) 
SSID(Service Set Identifier) 服 务 集 标识 符 (4. 4) 

SSL(Secure Socket Layer) 安 全 插口 层 (5. 3) 

TCP(Transmission Control Protocol) 传 输 控 制 协议 (7. 1) 
TKIP(Temporal Key Integrity Protocol) 临时 密 钥 完整 性 协议 (4.4) 
TLS(Transport Layer Security) 传 输 层 安全 (5.3) 
TMSI(Temporary Mobile Subscriber Identification number) 临 时 移动 用 户 识 别 码 (4. 3) 
TTL(Time To Live) 生 存 时 间 (7. 3) 

UAC(User Account Control) 用 户 账户 控制 (3. 3) 

UDP(User Datagram Protocol) 用 户 数据 报 协 议 (7. 1) 
UMTS(Universal Mobile Telecommunications System) 通 用 移动 通信 系统 (4. 3) 
URL(Uniform Resource Locator) 统 一 资源 定位 符 (5. 2) 
USB(Universal Serial Bus) 通 用 串 行 总 线 (2. 3) 

USIM(Universal Subscriber Identity Module) 全 球 用 户 识别 卡 (4. 3) 
VBA(Visual Basic for Application) Visual Basic 宏 语言 (3. 1) 
WEP( Wired Equivalent Privacy) 有 线 等 效 保密 (4. 4) 

WPA(Wi-Fi Protected Access) Wi-Fi 保护 访问 (4.4) 
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